Trojan.Hosts.43907

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'System' = '%WINDIR%\win10.exe'

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\system321
<SYSTEM32>\tasks\system32

Устанавливает следующие настройки сервисов

[<HKLM>\System\CurrentControlSet\Services\Host] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\Host] 'ImagePath' = '%WINDIR%\win10.exe'

Создает следующие сервисы

'Host' %WINDIR%\win10.exe
'Host' %WINDIR%\win7.exe

Вредоносные функции

Для затруднения выявления своего присутствия в системе

изменяет следующие системные настройки:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoDrives' = '04000000'

Запускает на исполнение

'<SYSTEM32>\taskkill.exe' /f /im notepad.exe

Завершает или пытается завершить

следующие системные процессы:

<SYSTEM32>\notepad.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\4fd4.tmp\4fe5.tmp\4fe6.bat
<Текущая директория>\win10.exe
nul
%WINDIR%\sh.vbs
<Текущая директория>\x.txt
%WINDIR%\win10.exe
%WINDIR%\x.reg

Удаляет следующие файлы

<Текущая директория>\x.txt

Другое

Ищет следующие окна

ClassName: 'GadgetHost' WindowName: ''
ClassName: '' WindowName: ''
ClassName: 'RegEdit_RegEdit' WindowName: ''

Создает и запускает на исполнение

'<SYSTEM32>\wscript.exe' "%WINDIR%\sh.vbs"
'<SYSTEM32>\cmd.exe' /c "%TEMP%\4FD4.tmp\4FE5.tmp\4FE6.bat <Полный путь к файлу>"' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c "%TEMP%\4FD4.tmp\4FE5.tmp\4FE6.bat <Полный путь к файлу>"
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\Software\Microsoft\Windows\ CurrentVersion\Policies\Explorer" /v "NoDesktop" /d 1 /f
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\Software\Microsoft\Windows\ CurrentVersion\Policies\Explorer" /v "NoClose" /d 1 /f
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\Software\Microsoft\Windows\ CurrentVersion\Policies\Explorer" /v "NoFind" /d 1 /f
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\Software\Microsoft\Windows\ CurrentVersion\Policies\Explorer" /v "NoRun" /d 1 /f
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\Control Panel\Mouse" /v MouseSensitivity /d 20 /f
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\Control Panel\Mouse" /v MouseSpeed /d 20 /f
'<SYSTEM32>\sc.exe' create Host binPath= "%WINDIR%\win7.exe" start= auto displayname= "System32"
'<SYSTEM32>\sc.exe' create Host binPath= "%WINDIR%\win10.exe" start= auto displayname= "System"
'<SYSTEM32>\rundll32.exe' USER32.DLL,UpdatePerUserSystemParameters
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\Control Panel\Desktop" /v WallpaperStyle /t REG_DWORD /d 1 /f
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\Control Panel\Desktop" /v Wallpaper /d "%WINDIR%\1.jpg" /f
'%WINDIR%\regedit.exe' /s %WINDIR%\x.reg
'<SYSTEM32>\schtasks.exe' /create /tn "System32" /ru system /tr %WINDIR%\win.exe /sc weekly /d * /st 15:30
'<SYSTEM32>\schtasks.exe' /create /tn "System321" /ru system /tr %WINDIR%\win10.exe /sc weekly /d * /st 10:30
'<SYSTEM32>\ping.exe' 127.0.0.1 -n 6
'<SYSTEM32>\notepad.exe' <Текущая директория>\x.txt
'<SYSTEM32>\cacls.exe' "<SYSTEM32>\config\system"
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v NoDrives /d "04000000" /f
'<SYSTEM32>\shutdown.exe' /f