Trojan.Hosts.33403

Техническая информация

Для обеспечения автозапуска и распространения:

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\services\sppsvc] 'Start' = '00000002'

Вредоносные функции:

Создает и запускает на исполнение:

'<Текущая директория>\FAPCFPACK.EXE'

Запускает на исполнение:

'<SYSTEM32>\slui.exe' -Embedding
'<SYSTEM32>\RunDll32.exe' InetCpl.cpl,ClearMyTracksByProcess 2
'<SYSTEM32>\sppsvc.exe'
'<SYSTEM32>\RunDll32.exe' InetCpl.cpl,ClearMyTracksByProcess 8
'<SYSTEM32>\Wat\WatAdminSvc.exe' /run
'%WINDIR%\write.exe'
'<SYSTEM32>\Wat\WatAdminSvc.exe'

Внедряет код в

следующие системные процессы:

%WINDIR%\write.exe

Завершает или пытается завершить

следующие пользовательские процессы:

iexplore.exe

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: 'FilemonClass' WindowName: ''
ClassName: 'PROCMON_WINDOW_CLASS' WindowName: ''
ClassName: 'RegmonClass' WindowName: ''
ClassName: 'OLLYDBG' WindowName: ''
ClassName: 'GBDYLLO' WindowName: ''
ClassName: 'pediy06' WindowName: ''

Изменения в файловой системе:

Создает следующие файлы:

%WINDIR%\Temp\tmp52FF.tmp
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\23BUYPX5\FAPCF[1].HTML
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\23BUYPX5\httpErrorPagesScripts[1]
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YIF7DGLM\httpErrorPagesScripts[1]
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\UEWNTWLX\fapcf[1].html
%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab7657.tmp
%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab7688.tmp
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\3U23MFC9\fapcf[1].html
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YIF7DGLM\fapcf[1].html
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YIF7DGLM\errorPageStrings[1]
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YIF7DGLM\dnserrordiagoff[1]
%WINDIR%\ServiceProfiles\LocalService\AppData\LocalLow\Microsoft\CryptnetUrlCache\MetaData\C24EC5BDAF13613245B4CECC3DE91DC6
<Текущая директория>\FAPCFPACK.EXE
%WINDIR%\ServiceProfiles\LocalService\AppData\LocalLow\Microsoft\CryptnetUrlCache\Content\C24EC5BDAF13613245B4CECC3DE91DC6
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\23BUYPX5\errorPageStrings[1]
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\3U23MFC9\NewErrorPageTemplate[1]
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\UEWNTWLX\dnserrordiagoff[1]
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YIF7DGLM\NewErrorPageTemplate[1]

Удаляет следующие файлы:

<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\23BUYPX5\FAPCF[1].HTML
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\UEWNTWLX\fapcf[1].html
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\3U23MFC9\NewErrorPageTemplate[1]
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YIF7DGLM\httpErrorPagesScripts[1]
%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab7657.tmp
%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab7688.tmp
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\3U23MFC9\fapcf[1].html
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YIF7DGLM\fapcf[1].html
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YIF7DGLM\NewErrorPageTemplate[1]
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\23BUYPX5\errorPageStrings[1]
<Текущая директория>\FAPCFPACK.EXE
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YIF7DGLM\dnserrordiagoff[1]
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YIF7DGLM\errorPageStrings[1]
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\UEWNTWLX\dnserrordiagoff[1]
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\23BUYPX5\httpErrorPagesScripts[1]
%WINDIR%\Temp\tmp52FF.tmp

Изменяет файл HOSTS.

Сетевая активность:

Подключается к:

'cf######07.googlecode.com':80
've####n.vinacf.com':80
'ct###.#indowsupdate.com':80
'20#.#6.232.182':80

TCP:

Запросы HTTP GET:

cf######07.googlecode.com/svn/trunk/FAPCF.HTML
ve####n.vinacf.com/fapcf.html
ct###.#indowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?71##############
20#.#6.232.182/fwlink/?Li###########
ct###.#indowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?43##############
20#.#6.232.182/pki/crl/products/microsoftrootcert.crl
20#.#6.232.182/pki/crl/products/WinPCA.crl

UDP:

DNS ASK go.###rosoft.com
DNS ASK cf######07.googlecode.com
DNS ASK ve####n.vinacf.com
DNS ASK ct###.#indowsupdate.com
DNS ASK crl.microsoft.com
DNS ASK www.microsoft.com

Другое:

Ищет следующие окна:

ClassName: 'Shell_TrayWnd' WindowName: ''
ClassName: 'ThunderRT6FormDC' WindowName: 'CROSSFIRE TOOL'
ClassName: 'MS_WebCheckMonitor' WindowName: ''
ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: '18467-41' WindowName: ''
ClassName: '' WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'EDIT' WindowName: ''
ClassName: '' WindowName: 'Registry Monitor - Sysinternals: www.sysinternals.com'
ClassName: '' WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'