Trojan.Hosts.27770

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'gWt' = '<SYSTEM32>\bgcvon.exe'

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile] 'EnableFirewall' = '00000000'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile] 'DoNotAllowExceptions' = '00000000'

Для затруднения выявления своего присутствия в системе

блокирует:

Cредство проверки системных файлов (SFC)
Центр обеспечения безопасности (Security Center)

Запускает на исполнение:

'<SYSTEM32>\netsh.exe' firewall set opmode mode=disable profile=all
'<SYSTEM32>\sc.exe' config SharedAccess start= disabled

Изменения в файловой системе:

Создает следующие файлы:

<SYSTEM32>\bgcvon.exe
<Полный путь к вирусу>

Изменяет файл HOSTS.

Самоперемещается:

из <Полный путь к вирусу> в %TEMP%\1.tmp

Сетевая активность:

Подключается к:

'bd####fl.afraid.org':80
'ip###bq.hn.org':80
'or###ua.yi.org':80
'uh####.dynserv.com':80
'dg####mepeb.yi.org':80
'mf####g.1dumb.com':80
'ks####rfpn.3-a.net':80
'gy#####fiq.1dumb.com':80
'ex####sayqd.yi.org':80
'fn####x.1dumb.com':80
'ry###zi.3-a.net':80
'ts###etw.hn.org':80
'ih####yukny.3-a.net':80
'pv#####ql.dynserv.com':80
'bh#####fy.afraid.org':80
'fi####bqzku.hn.org':80
'fc####ydw.yi.org':80
'dl####.1dumb.com':80
'ne####ybbo.3-a.net':80
'nt###zi.hn.org':80
'94.##0.191.201':25
'jd####y.dynserv.com':80
'wy####ow.afraid.org':80
'fz#####yq.dynserv.com':80
'im###y.3-a.net':80
'jr#####h.dynserv.com':80
'yj#####ro.afraid.org':80
'qe#####ous.1dumb.com':80
'pk#####ca.afraid.org':80
'yr###tt.hn.org':80
'kp###vde.yi.org':80

TCP:

Запросы HTTP GET:

bd####fl.afraid.org/reg?u=##########################################################
ip###bq.hn.org/reg?u=##########################################################
or###ua.yi.org/reg?u=##########################################################
uh####.dynserv.com/reg?u=##########################################################
dg####mepeb.yi.org/reg?u=##########################################################
mf####g.1dumb.com/reg?u=##########################################################
ks####rfpn.3-a.net/reg?u=##########################################################
gy#####fiq.1dumb.com/reg?u=##########################################################
ex####sayqd.yi.org/reg?u=##########################################################
fn####x.1dumb.com/reg?u=##########################################################
ry###zi.3-a.net/reg?u=##########################################################
ts###etw.hn.org/reg?u=##########################################################
ih####yukny.3-a.net/reg?u=##########################################################
pv#####ql.dynserv.com/reg?u=##########################################################
bh#####fy.afraid.org/reg?u=##########################################################
dl####.1dumb.com/reg?u=##########################################################
ne####ybbo.3-a.net/reg?u=##########################################################
fz#####yq.dynserv.com/reg?u=##########################################################
fc####ydw.yi.org/reg?u=##########################################################
jd####y.dynserv.com/reg?u=##########################################################
wy####ow.afraid.org/reg?u=##########################################################
nt###zi.hn.org/reg?u=##########################################################
pk#####ca.afraid.org/reg?u=##########################################################
jr#####h.dynserv.com/reg?u=##########################################################
yj#####ro.afraid.org/reg?u=##########################################################
fi####bqzku.hn.org/reg?u=##########################################################
im###y.3-a.net/reg?u=##########################################################
yr###tt.hn.org/reg?u=##########################################################
kp###vde.yi.org/reg?u=##########################################################
qe#####ous.1dumb.com/reg?u=##########################################################