Trojan.KillFiles.29518

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'DLL COM User TCP/IP Window' = '<SYSTEM32>\kbzzymndcw.exe'

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\Gateway Reports Initiator Management Class] 'Start' = '00000002'

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует:

Центр обеспечения безопасности (Security Center)

Создает и запускает на исполнение:

'<SYSTEM32>\cqzwffmxeggr.exe' "<SYSTEM32>\kbzzymndcw.exe"
'%WINDIR%\Temp\edhhoh3bykrwq.exe' -r 25691 tcp
'%TEMP%\edhhoh36ierwqrkctqsm.exe'
'<SYSTEM32>\kbzzymndcw.exe'

Изменения в файловой системе:

Создает следующие файлы:

<SYSTEM32>\opcfvqnhbh\run
<SYSTEM32>\opcfvqnhbh\rng
%WINDIR%\Temp\edhhoh3bykrwq.exe
<SYSTEM32>\opcfvqnhbh\cfg
<SYSTEM32>\cqzwffmxeggr.exe
%TEMP%\edhhoh36ierwqrkctqsm.exe
<SYSTEM32>\opcfvqnhbh\tst
<SYSTEM32>\kbzzymndcw.exe
<SYSTEM32>\opcfvqnhbh\etc

Присваивает атрибут 'скрытый' для следующих файлов:

<SYSTEM32>\cqzwffmxeggr.exe
<SYSTEM32>\kbzzymndcw.exe

Удаляет следующие файлы:

%WINDIR%\Temp\edhhoh3bykrwq.exe
<DRIVERS>\etc\hosts
%TEMP%\edhhoh36ierwqrkctqsm.exe

Подменяет файл HOSTS.

Сетевая активность:

Подключается к:

'lr###side.net':80
'vi###tone.net':80
'pl###there.net':80
'vi###ide.net':80
'lr###stone.net':80
'vi###here.net':80
'lr###there.net':80
'vi###rms.net':80
'lr###arms.net':80
'fi###here.net':80
'se###there.net':80
'fi###ide.net':80
'se###arms.net':80
'le###there.net':80
'pl###side.net':80
'fi###rms.net':80
'pl###arms.net':80
'fi###tone.net':80
'pl###stone.net':80
'yo###ide.net':80
'dr####hirteen.net':80
'mo###rest.net':80
'se###sound.net':80
'fa###oat.net':80
'we####dayhalf.net':80
'en###guess.net':80
'ab###ead.net':80
'qu###tell.net':80
'so###nder.net':80
'mu###appy.net':80
'tr###stone.net':80
'yo###rms.net':80
'tr###side.net':80
'yo###tone.net':80
'tr###arms.net':80
'ta###ave.net':80
'wa###ave.net':80
'yo###here.net':80
'tr###there.net':80

TCP:

Запросы HTTP GET:

http://lr###side.net/index.php?me################################################
http://vi###tone.net/index.php?me################################################
http://pl###there.net/index.php?me################################################
http://vi###ide.net/index.php?me################################################
http://lr###stone.net/index.php?me################################################
http://vi###here.net/index.php?me################################################
http://lr###there.net/index.php?me################################################
http://vi###rms.net/index.php?me################################################
http://lr###arms.net/index.php?me################################################
http://fi###here.net/index.php?me################################################
http://se###there.net/index.php?me################################################
http://fi###ide.net/index.php?me################################################
http://se###arms.net/index.php?me################################################
http://le###there.net/index.php?me################################################
http://pl###side.net/index.php?me################################################
http://fi###rms.net/index.php?me################################################
http://pl###arms.net/index.php?me################################################
http://fi###tone.net/index.php?me################################################
http://pl###stone.net/index.php?me################################################
http://yo###ide.net/index.php?me################################################
http://dr####hirteen.net/index.php?me################################################
http://mo###rest.net/index.php?me################################################
http://se###sound.net/index.php?me################################################
http://fa###oat.net/index.php?me################################################
http://we####dayhalf.net/index.php?me################################################
http://en###guess.net/index.php?me################################################
http://ab###ead.net/index.php?me################################################
http://qu###tell.net/index.php?me################################################
http://so###nder.net/index.php?me################################################
http://mu###appy.net/index.php?me################################################
http://tr###stone.net/index.php?me################################################
http://yo###rms.net/index.php?me################################################
http://tr###side.net/index.php?me################################################
http://yo###tone.net/index.php?me################################################
http://tr###arms.net/index.php?me################################################
http://ta###ave.net/index.php?me################################################
http://wa###ave.net/index.php?me################################################
http://yo###here.net/index.php?me################################################
http://tr###there.net/index.php?me################################################