Trojan.Hosts.50287

Техническая информация

Изменения в файловой системе

Создает следующие файлы

%HOMEPATH%\desktop\topjb\1.txt
<SYSTEM32>.exe
%WINDIR%\syswow64\nlstrte1uue9.dll
%WINDIR%\syswow64\nlstrte1uue6.dll
C:\ttbay.txt
%HOMEPATH%\desktop\topjb\30ГГІГ—ГґВ¶ВЇВґГІboosВ»В»Г¤В§ГЄВЇВїВЁГ ГЅГ—Гі.txt
%HOMEPATH%\desktop\topjb\ГҐГ°В¶ГЇВ±ВіВ°ГјГ®ГЇГ¦В·Г ГЅГ—Гі.txt
%HOMEPATH%\desktop\topjb\Г—ГґВ¶ВЇВѕГЄГГµГ ГЅГ—Гі.txt
%HOMEPATH%\desktop\topjb\Г«Г¦В»ГєВѕГВ№ГІВ»ГєГ ГЅГ—Гі.txt
<DRIVERS>\etc\hosts.dz
%HOMEPATH%\desktop\topjb\Г ГЅГ—Гі2-ГҐГ°В¶ГЇГЈГґВ№В¬-ГЇГЁВµВЅВєВЈВµВєГґГ№Г—ГџГўВ·ВµВЅГ°ГЎ.ВїГ«ВјГґВ¶Г».txt
%HOMEPATH%\desktop\topjb\ВёВґВ»Г®В±В¦В±В¦Г ГЅГ—Гі.txt
%HOMEPATH%\desktop\topjb\bsГ©ГЁГ¶ГЈ\Г§В§В№ГҐГ¤В§ГіГІ.ini
%HOMEPATH%\desktop\topjb\bsГ©ГЁГ¶ГЈ\Г¬Г¦ВіВЇГ¤В§ГіГІ.ini
%HOMEPATH%\desktop\topjb\bsГ©ГЁГ¶ГЈ\ВјГ Г Г»Г¤В§ГіГІ.ini
%HOMEPATH%\desktop\topjb\bsГ©ГЁГ¶ГЈ\ГЎГєГ¤В§ГіГІ.ini
%HOMEPATH%\desktop\topjb\В№ГІВ»ГєГ—ГёВ±ГЄВґГ¦ВµВµ\Г Г—ГЈГ№2.txt
%HOMEPATH%\desktop\topjb\В№ГІВ»ГєГ—ГёВ±ГЄВґГ¦ВµВµ\Г Г—ГЈГ№1.txt
%HOMEPATH%\desktop\topjb\В№Г¶Г®ГЇ.txt
%HOMEPATH%\desktop\topjb\Г ГЅГ—Гі1-ГҐГ°В¶ГЇГЈГґВ№В¬-В»ГЈГЇГ«Г¶В®В№ГўВїГ©Г¶В±ВЅГіВґВ«ВµВЅГ°ГЎ.ВїГ«ВјГґВ¶Г».txt
%LOCALAPPDATA%\microsoft\windows\history\history.ie5\mshist012022080520220806\index.dat

Присваивает атрибут 'скрытый' для следующих файлов

%WINDIR%\syswow64\nlstrte1uue6.dll
%WINDIR%\syswow64\nlstrte1uue9.dll
<SYSTEM32>.exe
<DRIVERS>\etc\hosts.dz

Изменяет следующие файлы

Изменяет файл HOSTS.

Сетевая активность

Подключается к

'jc.##ousm.com':80
'jc.##2tl.com':80
'my##ke.net':80
'5b#######5225.cdn.sohucs.com':80
'n.###aimg.cn':80
'im##.##che.netease.com':443
'cr#.#igicert.cn':80
'oc##.#igicert.cn':80
'microsoft.com':80

TCP

Запросы HTTP GET

http://jc.##ousm.com/jiechi.txt
http://oc##.#igicert.cn/MFEwTzBNMEswSTAJBgUrDgMCGgUABBTRXf%2BqAIajMnZeiQcx27p1CzET2wQUJG%2BRP4mHhw4ywkAY38VM60%2FISTICEAVzSMmHqAzotl7OAE0R5XY%3D
http://oc##.#igicert.cn/MFEwTzBNMEswSTAJBgUrDgMCGgUABBSAUQYBMq2awn1Rh6Doh%2FsBYgFV7gQUA95QNVbRTLtm8KPiGxvDl7I90VUCEAsTYrbuap0%2Blokw8W4gfTk%3D
http://cr#.#igicert.cn/DigiCertGlobalRootCA.crl
http://www.my##ke.net/favicon.ico
http://www.my##ke.net/template/news/xxfseo03/style/images/ico2.gif
http://www.my##ke.net/template/news/xxfseo03/style/images/ico1.gif
http://www.my##ke.net/template/news/xxfseo03/style/images/t_bg1.gif
http://www.my##ke.net/template/news/xxfseo03/style/images/search.gif
http://n.###aimg.cn/news/transform/200/w600h400/20180911/XQjm-hiycyfw7528662.jpg
http://n.###aimg.cn/photo/transform/200/w600h400/20180530/D4pP-hcffhsv3905475.jpg
http://n.###aimg.cn/news/1_img/upload/2b0c102b/618/w400h218/20180813/55l7-fzrwica0748648.jpg
http://n.###aimg.cn/translate/700/w900h600/20190331/WvBD-huxwryw6965021.jpg
http://n.###aimg.cn/news/1_img/upload/6d34f853/107/w1024h683/20190310/i8hi-htzuhtp3046818.jpg
http://n.###aimg.cn/news/1_ori/dfic/8de453bf/107/w1024h683/20180415/rw1X-fytnfyp5005063.jpg
http://cr#.#igicert.cn/GeoTrustRSACNCAG2.crl
http://n.###aimg.cn/news/transform/200/w600h400/20180726/cRJN-hfvkitw8019059.jpg
http://ph####dn.sohu.com/20170322/Img484245594.jpg
http://ph####dn.sohu.com/20170424/Img490493679.jpg
http://ph####dn.sohu.com/20161028/Img471629876.jpg
http://ph####dn.sohu.com/20170321/Img484073254.jpg
http://5b#######5225.cdn.sohucs.com/images/20190420/f9c338b530d0453a8fa163f0a04cf90f.jpeg
http://5b#######5225.cdn.sohucs.com/images/20190420/7dcf96ee68bc4483bf39cf06abd39e9c.jpeg
http://cm#####ket.ws.126.net/2019/04/17/33e855872cd440cc8961536f389fd30e.png?im#######################
http://www.my##ke.net/uploads/images/logo.png?n=##########################
http://5b#######5225.cdn.sohucs.com/images/20190420/9394ce540c784d31a20c034e777b3b90.jpeg
http://5b#######5225.cdn.sohucs.com/images/20190420/65c79afe6dbf411fb0d5c57a8eca2dd5.jpeg
http://www.my##ke.net/template/news/xxfseo03/style/style.css
http://www.my##ke.net/
http://jc.##2tl.com/357/357.txt
http://jc.##2tl.com/my/qqwg1.txt
http://www.my##ke.net/template/news/xxfseo03/style/images/so.gif
http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt

Другие

'im##.##che.netease.com':443

UDP

DNS ASK jc.##2tl.com
DNS ASK jc.##ousm.com
DNS ASK my##ke.net
DNS ASK 5b#######5225.cdn.sohucs.com
DNS ASK ph####dn.sohu.com
DNS ASK cm#####ket.ws.126.net
DNS ASK n.###aimg.cn
DNS ASK im##.##che.netease.com
DNS ASK cr#.#igicert.cn
DNS ASK oc##.#igicert.cn
DNS ASK microsoft.com

Другое

Ищет следующие окна

ClassName: 'DDEMLMom' WindowName: ''
ClassName: 'IEFrame' WindowName: ''
ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebCheckMonitor' WindowName: ''
ClassName: 'Static' WindowName: ''

Запускает на исполнение

'<SYSTEM32>\rundll32.exe' <SYSTEM32>\FirewallControlPanel.dll,ShowNotificationDialog /configure /ETOnly 0 /OnProfiles 6 /OtherAllowed 0 /OtherBlocked 0 /OtherEdgeAllowed 0 /NewBlocked 4 "<Полный путь к файлу>"