Trojan.Hosts.32723

Техническая информация

Для обеспечения автозапуска и распространения:

Изменяет следующие исполняемые системные файлы:

<SYSTEM32>\setup.exe

Вредоносные функции:

Создает и запускает на исполнение:

'%PROGRAM_FILES%\Internet Download Manager\Patcher.exe' /nobackup /silent /overwrite
'%TEMP%\IDM_Setup_Temp\IDM1.tmp' -d "%TEMP%\IDM_Setup_Temp\"
'<SYSTEM32>\setup.exe.tmp' (загружен из сети Интернет)

Запускает на исполнение:

'%WINDIR%\regedit.exe' /s "%TEMP%\\regpatch.reg"
'<SYSTEM32>\ipconfig.exe' /flushdns
'<SYSTEM32>\setup.exe'

Изменения в файловой системе:

Создает следующие файлы:

%WINDIR%\Temp\Cab3.tmp
<SYSTEM32>\config\systemprofile\Application Data\Microsoft\CryptnetUrlCache\Content\94308059B57B3142E455B38A6EB92015
%TEMP%\aut7.tmp
%WINDIR%\Temp\Cab5.tmp
%ALLUSERSPROFILE%\Start Menu\Programs\Internet Download Manager\Grabber Help.lnk
%HOMEPATH%\Start Menu\Programs\Internet Download Manager\Grabber Help.lnk
<SYSTEM32>\config\systemprofile\Application Data\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
%PROGRAM_FILES%\Internet Download Manager\IDMSetup2.log
%HOMEPATH%\Desktop\Internet Download Manager.lnk
%WINDIR%\Temp\CabA.tmp
<SYSTEM32>\Setup.exe
%WINDIR%\Temp\CabC.tmp
%TEMP%\dup2patcher.dll
%PROGRAM_FILES%\Internet Download Manager\Patcher.exe
%WINDIR%\Temp\Cab8.tmp
%TEMP%\regpatch.reg
%ALLUSERSPROFILE%\Start Menu\Programs\Internet Download Manager\TUTORIALS.lnk
<SYSTEM32>\config\systemprofile\Application Data\Microsoft\CryptnetUrlCache\MetaData\2BF68F4714092295550497DD56F57004
%TEMP%\IDM_Setup_Temp\IDMSetup2.log
%HOMEPATH%\Start Menu\Programs\Internet Download Manager\Uninstall IDM.lnk
<SYSTEM32>\config\systemprofile\Application Data\Microsoft\CryptnetUrlCache\Content\2BF68F4714092295550497DD56F57004
%TEMP%\mzcejrv
%TEMP%\aut1.tmp
%TEMP%\aut2.tmp
%HOMEPATH%\Start Menu\Programs\Internet Download Manager\Internet Download Manager.lnk
%ALLUSERSPROFILE%\Start Menu\Programs\Internet Download Manager\IDM Help.lnk
%HOMEPATH%\Start Menu\Programs\Internet Download Manager\TUTORIALS.lnk
%ALLUSERSPROFILE%\Start Menu\Programs\Internet Download Manager\Internet Download Manager.lnk
%HOMEPATH%\Start Menu\Programs\Internet Download Manager\license.lnk
%ALLUSERSPROFILE%\Start Menu\Programs\Internet Download Manager\Uninstall IDM.lnk
%HOMEPATH%\Start Menu\Programs\Internet Download Manager\IDM Help.lnk
%ALLUSERSPROFILE%\Start Menu\Programs\Internet Download Manager\license.lnk

Удаляет следующие файлы:

%TEMP%\regpatch.reg
%WINDIR%\Temp\CabA.tmp
%WINDIR%\Temp\Cab8.tmp
%WINDIR%\Temp\CabC.tmp
%PROGRAM_FILES%\Internet Download Manager\Patcher.exe
%TEMP%\dup2patcher.dll
%TEMP%\aut7.tmp
%TEMP%\aut2.tmp
%TEMP%\mzcejrv
%TEMP%\aut1.tmp
%WINDIR%\Temp\Cab5.tmp
%WINDIR%\Temp\Cab3.tmp
<SYSTEM32>\setup.exe

Изменяет файл HOSTS.

Сетевая активность:

Подключается к:

'www.ka###imsiz.com':80
'www.download.windowsupdate.com':80
'wp#d':80

TCP:

Запросы HTTP GET:

www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab
www.ka###imsiz.com/Setup.rar
wp#d/wpad.dat
www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt

UDP: