Trojan.Hosts.52174

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKCU\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce] '360safetray' = '"<SYSTEM32>\win32.exe"'
[HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'internat' = '"<SYSTEM32>\WinUpdate.exe"'
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\RunServicesOnce] '360safe' = '"%WINDIR%\repair\internat.exe"'
[HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Extensions\{b02A04EE-3024-11D2-8F1F-0000F87ABD16}] 'ClsidExtension' = '▒Ω╫╝╦╤╦≈'
[HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Extensions\{b02A04EE-3024-11D2-8F1F-0000F87ABD16}] 'Exec' = 'http://www.biso.cn/js/re.asp?i=2'

Создает или изменяет следующие файлы

%WINDIR%\tasks\at1.job
<SYSTEM32>\tasks\at1
%WINDIR%\tasks\at2.job
<SYSTEM32>\tasks\at2

Вредоносные функции

Запускает на исполнение

'%WINDIR%\syswow64\at.exe' /delete /yes
'%WINDIR%\syswow64\at.exe' 11:46 /every:TH,Su %WINDIR%\pat32.exe
'%WINDIR%\syswow64\at.exe' 22:46 /every:T,Sa %WINDIR%\pat32.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\winnt32.bat
%TEMP%\exe4836.tmp
<Текущая директория>\a.txt
%ALLUSERSPROFILE%\microsoft\crypto\rsa\s-1-5-18\d42cc0c3858a58db2db37658219e6400_0cb67e2f-dc95-45ca-8fb8-69bde8e3f814
%HOMEPATH%\favorites\google▒ω╫╝╦╤╦≈.url

Удаляет следующие файлы

<Текущая директория>\a.txt
%TEMP%\exe4836.tmp
%TEMP%\winnt32.bat

Изменяет файл HOSTS.

Сетевая активность

UDP

DNS ASK bi#o.cn

Другое

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\winnt32.bat"" (со скрытым окном)
'%WINDIR%\syswow64\reg.exe' add "HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Extensions\{b02A04EE-3024-11D2-8F1F-0000F87ABD16}" /v "Exec" /d "http://www.biso.cn/js/re.asp?i=2" /f
'%WINDIR%\syswow64\reg.exe' add "HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Extensions\{b02A04EE-3024-11D2-8F1F-0000F87ABD16}" /v "ClsidExtension" /d "▒Ω╫╝╦╤╦≈" /f
'%WINDIR%\syswow64\reg.exe' add "HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Extensions\{b02A04EE-3024-11D2-8F1F-0000F87ABD16}" /v "CLSID" /d "{1FBA04EE-3024-11D2-8F1F-0000F87ABD16}" /f
'%WINDIR%\syswow64\reg.exe' add "HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Extensions\{b02A04EE-3024-11D2-8F1F-0000F87ABD16}" /v "hotIcon" /d "<SYSTEM32>\shell32.dll,15" /f
'%WINDIR%\syswow64\reg.exe' add "HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Extensions\{b02A04EE-3024-11D2-8F1F-0000F87ABD16}" /v "Icon" /d "<SYSTEM32>\shell32.dll,15" /f
'%WINDIR%\syswow64\reg.exe' add "HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Extensions\{b02A04EE-3024-11D2-8F1F-0000F87ABD16}" /v "Default Icon" /d "<SYSTEM32>\shell32.dll,15" /f
'%WINDIR%\syswow64\reg.exe' add "HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Extensions\{b02A04EE-3024-11D2-8F1F-0000F87ABD16}" /v "Default Visible" /d "yes" /f
'%WINDIR%\syswow64\reg.exe' add "HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Extensions\{b02A04EE-3024-11D2-8F1F-0000F87ABD16}" /v "MenuText" /d "▒Ω╫╝╦╤╦≈" /f
'%WINDIR%\syswow64\reg.exe' add "HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Extensions\{b02A04EE-3024-11D2-8F1F-0000F87ABD16}" /v "ButtonText" /d "▒Ω╫╝╦╤╦≈" /f
'%WINDIR%\syswow64\reg.exe' add "HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\MenuExt\│Гє╙├╚φ╝■" /v "" /d "http://www.biso.cn/js/menu.asp?menu=soft" /f
'%WINDIR%\syswow64\reg.exe' add "HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\MenuExt\Google ╦╤╦≈" /v "" /d "http://www.biso.cn/js/menu.asp?menu=search" /f
'%WINDIR%\syswow64\reg.exe' add HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce /v 360safe /d """"%WINDIR%\repair\internat.exe"""" /f
'%WINDIR%\syswow64\reg.exe' add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce /v internat /d """"<SYSTEM32>\WinUpdate.exe"""" /f
'%WINDIR%\syswow64\reg.exe' add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce /v 360safetray /d """"<SYSTEM32>\win32.exe"""" /f
'%WINDIR%\syswow64\reg.exe' delete "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce" /va /f
'%WINDIR%\syswow64\ping.exe' -n 1 biso.cn
'%WINDIR%\syswow64\reg.exe' add "HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Extensions\{b02A04EE-3024-11D2-8F1F-0000F87ABD16}" /v "" /d "" /f
'%WINDIR%\syswow64\reg.exe' add "HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Extensions\{b02A04EE-3024-11D2-8F1F-0000F87ABD16}" /v "MenuStatusBar" /d "▒Ω╫╝╦╤╦≈" /f