Trojan.KillFiles.28228

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Windows UserMode Resource Spooler' = '<SYSTEM32>\odrhcrki.exe'

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\Management Identity Print Assistant] 'Start' = '00000002'

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует:

Центр обеспечения безопасности (Security Center)

Создает и запускает на исполнение:

'<SYSTEM32>\tnyfmvnslw.exe' "<SYSTEM32>\odrhcrki.exe"
'%WINDIR%\Temp\eqa7dfp3o6oi161r.exe' -r 49016 tcp
'%TEMP%\eqa7dfp3dupi161rhgar3b.exe'
'<SYSTEM32>\odrhcrki.exe'

Изменения в файловой системе:

Создает следующие файлы:

<SYSTEM32>\lmbqzdszrb\run
<SYSTEM32>\lmbqzdszrb\rng
%WINDIR%\Temp\eqa7dfp3o6oi161r.exe
<SYSTEM32>\lmbqzdszrb\cfg
<SYSTEM32>\tnyfmvnslw.exe
%TEMP%\eqa7dfp3dupi161rhgar3b.exe
<SYSTEM32>\lmbqzdszrb\tst
<SYSTEM32>\odrhcrki.exe
<SYSTEM32>\lmbqzdszrb\etc

Присваивает атрибут 'скрытый' для следующих файлов:

<SYSTEM32>\tnyfmvnslw.exe
<SYSTEM32>\odrhcrki.exe

Удаляет следующие файлы:

%WINDIR%\Temp\eqa7dfp3o6oi161r.exe
<DRIVERS>\etc\hosts
%TEMP%\eqa7dfp3dupi161rhgar3b.exe

Подменяет файл HOSTS.

Сетевая активность:

Подключается к:

'li###ron.net':80
'no###ron.net':80
'li###uild.net':80
'no###uild.net':80
'ca###eal.net':80
'po###roll.net':80
'ca###uild.net':80
'po###deal.net':80
'ca###oll.net':80
'we###oll.net':80
'we###uild.net':80
'ri###ron.net':80
'we###eal.net':80
'we###ron.net':80
'li###oll.net':80
'no###oll.net':80
'li###eal.net':80
'no###eal.net':80
'po###build.net':80
'ta###hand.net':80
'up###ail.net':80
'sp###ont.net':80
'wa###since.net':80
'wa###easy.net':80
'pi###rave.net':80
'so###blood.net':80
'ro###tock.net':80
'ab###ead.net':80
'le###eal.net':80
'ta###deal.net':80
'ca###ron.net':80
'po###iron.net':80
'wh###ifth.net':80
'ma###han.net':80
'of###aunt.net':80
'pi###ake.net':80
'dr###wide.net':80

TCP:

Запросы HTTP GET:

http://li###ron.net/index.php?me################################################
http://no###ron.net/index.php?me################################################
http://li###uild.net/index.php?me################################################
http://no###uild.net/index.php?me################################################
http://ca###eal.net/index.php?me################################################
http://po###roll.net/index.php?me################################################
http://ca###uild.net/index.php?me################################################
http://po###deal.net/index.php?me################################################
http://ca###oll.net/index.php?me################################################
http://we###oll.net/index.php?me################################################
http://we###uild.net/index.php?me################################################
http://ri###ron.net/index.php?me################################################
http://we###eal.net/index.php?me################################################
http://we###ron.net/index.php?me################################################
http://li###oll.net/index.php?me################################################
http://no###oll.net/index.php?me################################################
http://li###eal.net/index.php?me################################################
http://no###eal.net/index.php?me################################################
http://po###build.net/index.php?me################################################
http://ta###hand.net/index.php?me################################################
http://up###ail.net/index.php?me################################################
http://sp###ont.net/index.php?me################################################
http://wa###since.net/index.php?me################################################
http://wa###easy.net/index.php?me################################################
http://pi###rave.net/index.php?me################################################
http://so###blood.net/index.php?me################################################
http://ro###tock.net/index.php?me################################################
http://ab###ead.net/index.php?me################################################
http://le###eal.net/index.php?me################################################
http://ta###deal.net/index.php?me################################################
http://ca###ron.net/index.php?me################################################
http://po###iron.net/index.php?me################################################
http://wh###ifth.net/index.php?me################################################
http://ma###han.net/index.php?me################################################
http://of###aunt.net/index.php?me################################################
http://pi###ake.net/index.php?me################################################
http://dr###wide.net/index.php?me################################################