Trojan.KillFiles.28330

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'UserFaultCheck' = ''
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Extender NGEN Time IPsec Task Event' = '<SYSTEM32>\jsaixoiie.exe'

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\Human Assistant Tools Audio Microsoft AuthIP] 'Start' = '00000002'

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует:

Центр обеспечения безопасности (Security Center)

Создает и запускает на исполнение:

'<SYSTEM32>\hulmkgxe.exe' "<SYSTEM32>\jsaixoiie.exe"
'%WINDIR%\Temp\eoblgi3t4mszyi.exe' -r 41782 tcp
'%TEMP%\eoblgi3kydszyipgbmsg.exe'
'<SYSTEM32>\jsaixoiie.exe'

Изменения в файловой системе:

Создает следующие файлы:

<SYSTEM32>\qxgvqobe\cfg
<SYSTEM32>\qxgvqobe\run
%WINDIR%\Temp\eoblgi3t4mszyi.exe
%WINDIR%\pchealth\ERRORREP\UserDumps\hulmkgxe.exe.20150619-152819-00.hdmp
%WINDIR%\pchealth\ERRORREP\UserDumps\hulmkgxe.exe.20150619-152819-00.mdmp
<SYSTEM32>\qxgvqobe\rng
%TEMP%\eoblgi3kydszyipgbmsg.exe
<SYSTEM32>\qxgvqobe\tst
<SYSTEM32>\qxgvqobe\etc
<SYSTEM32>\hulmkgxe.exe
<SYSTEM32>\jsaixoiie.exe

Присваивает атрибут 'скрытый' для следующих файлов:

<SYSTEM32>\hulmkgxe.exe
<SYSTEM32>\jsaixoiie.exe

Удаляет следующие файлы:

%WINDIR%\Temp\eoblgi3t4mszyi.exe
<DRIVERS>\etc\hosts
%TEMP%\eoblgi3kydszyipgbmsg.exe

Подменяет файл HOSTS.

Сетевая активность:

Подключается к:

'to###ill.net':80
'fa###ill.net':80
'to###irst.net':80
'le###guess.net':80
'to###tood.net':80
'fa###tood.net':80
'fa###irst.net':80
've###tood.net':80
'we###ill.net':80
've###ill.net':80
'to###uess.net':80
'fa###uess.net':80
'we###tood.net':80
'ab###ead.net':80
'ro###tock.net':80
'wa###easy.net':80
'so###blood.net':80
'wi###ruit.net':80
'pi###rave.net':80
'up###ail.net':80
'se###first.net':80
'le###first.net':80
'se###guess.net':80
'ta###hand.net':80
'se###kill.net':80
'le###kill.net':80

TCP:

Запросы HTTP GET:

http://to###ill.net/index.php?me################################################
http://fa###ill.net/index.php?me################################################
http://to###irst.net/index.php?me################################################
http://le###guess.net/index.php?me################################################
http://to###tood.net/index.php?me################################################
http://fa###tood.net/index.php?me################################################
http://fa###irst.net/index.php?me################################################
http://ve###tood.net/index.php?me################################################
http://we###ill.net/index.php?me################################################
http://ve###ill.net/index.php?me################################################
http://to###uess.net/index.php?me################################################
http://fa###uess.net/index.php?me################################################
http://we###tood.net/index.php?me################################################
http://ab###ead.net/index.php?me################################################
http://ro###tock.net/index.php?me################################################
http://wa###easy.net/index.php?me################################################
http://so###blood.net/index.php?me################################################
http://wi###ruit.net/index.php?me################################################
http://pi###rave.net/index.php?me################################################
http://up###ail.net/index.php?me################################################
http://se###first.net/index.php?me################################################
http://le###first.net/index.php?me################################################
http://se###guess.net/index.php?me################################################
http://ta###hand.net/index.php?me################################################
http://se###kill.net/index.php?me################################################
http://le###kill.net/index.php?me################################################