Trojan.Hosts.28868

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'gWt' = '<SYSTEM32>\qtutkwoblqw.exe'

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile] 'EnableFirewall' = '00000000'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile] 'DoNotAllowExceptions' = '00000000'

Для затруднения выявления своего присутствия в системе

блокирует:

Cредство проверки системных файлов (SFC)
Центр обеспечения безопасности (Security Center)

Запускает на исполнение:

'<SYSTEM32>\netsh.exe' firewall set opmode mode=disable profile=all
'<SYSTEM32>\sc.exe' config SharedAccess start= disabled

Скрывает следующие процессы:

<Полный путь к вирусу>

Изменения в файловой системе:

Создает следующие файлы:

<SYSTEM32>\qtutkwoblqw.exe
<Полный путь к вирусу>

Изменяет файл HOSTS.

Самоперемещается:

из <Полный путь к вирусу> в %TEMP%\1.tmp

Сетевая активность:

Подключается к:

'kp###vde.yi.org':80
'qe#####ous.1dumb.com':80
'im###y.3-a.net':80
'fz#####yq.dynserv.com':80
'pk#####ca.afraid.org':80
'yr###tt.hn.org':80
'jr#####h.dynserv.com':80
'mf####g.1dumb.com':80
'ks####rfpn.3-a.net':80
'uh####.dynserv.com':80
'yj#####ro.afraid.org':80
'fi####bqzku.hn.org':80
'dg####mepeb.yi.org':80
'mx#.#otmail.com':25
'ma#####01.mx.aol.com':25
'ma#####04.mx.aol.com':25
'94.##0.191.201':25
'ma##.#arthlink.net':25
'yu####z.1dumb.com':80
'mc###i.3-a.net':80
'fc####ydw.yi.org':80
'dl####.1dumb.com':80
'ne####ybbo.3-a.net':80
'jd####y.dynserv.com':80
'wy####ow.afraid.org':80
'nt###zi.hn.org':80

TCP:

Запросы HTTP GET:

jr#####h.dynserv.com/reg?u=##########################################################
yj#####ro.afraid.org/reg?u=##########################################################
im###y.3-a.net/reg?u=##########################################################
kp###vde.yi.org/reg?u=##########################################################
qe#####ous.1dumb.com/reg?u=##########################################################
ks####rfpn.3-a.net/reg?u=##########################################################
uh####.dynserv.com/reg?u=##########################################################
mf####g.1dumb.com/reg?u=##########################################################
fi####bqzku.hn.org/reg?u=##########################################################
dg####mepeb.yi.org/reg?u=##########################################################
yr###tt.hn.org/reg?u=##########################################################
wy####ow.afraid.org/reg?u=##########################################################
nt###zi.hn.org/reg?u=##########################################################
jd####y.dynserv.com/reg?u=##########################################################
yu####z.1dumb.com/reg?u=##########################################################
mc###i.3-a.net/reg?u=##########################################################
fz#####yq.dynserv.com/reg?u=##########################################################
pk#####ca.afraid.org/reg?u=##########################################################
ne####ybbo.3-a.net/reg?u=##########################################################
fc####ydw.yi.org/reg?u=##########################################################
dl####.1dumb.com/reg?u=##########################################################