Trojan.Inject2.7496

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ec525f4' = '%APPDATA%\ec525f4.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ec525f' = 'C:\ec525f4\ec525f4.exe'

Создает или изменяет следующие файлы:

%HOMEPATH%\Start Menu\Programs\Startup\ec525f4.exe

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует:

Компонент восстановления системы (SR)

Запускает на исполнение:

'<SYSTEM32>\vssadmin.exe' Delete Shadows /All /Quiet
'<SYSTEM32>\svchost.exe' netsvcs
'%WINDIR%\explorer.exe'

Внедряет код в

следующие системные процессы:

<SYSTEM32>\svchost.exe

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\ec525f4.exe
C:\ec525f4\ec525f4.exe

Сетевая активность:

Подключается к:

'gu#####esportsteam.com':80
'ik###trina.com':80
'ex######olaresdilosport.com':80
'le###ertabi.net':80
'di#####ion.ardinova.com':80
'ec###sehair.com':80
'ge####letsnow.com':80
'hi###gyou.us':80
'cl######.#utorepuestopalacios.com':80
'kh####iaorder.com':80
'at##vt.com':80
'bi##el.com':80
'an####.icodedark.com':80
'do#######ketingporinternet.com':80
'hc##s.com':80
'da####ollmusic.com':80
'ip##ddr.es':80
'my####rnalip.com':80
'cu###yip.com':80
'fu#####rerowstores.com':80
'wa#####mgespokane.us':80
'ge####llardart.com':80
'me##shop.ru':80
'ja####eagher.com':80
'wa#######gefortlauderdale.info':80

TCP:

Запросы HTTP GET:

http://cu###yip.com/
http://my####rnalip.com/raw
http://ip##ddr.es/

Запросы HTTP POST:

http://ik###trina.com/wp-includes/theme-compat/3.php?u=##############
http://ex######olaresdilosport.com/wp-includes/SimplePie/Decode/HTML/3.php?q=##############
http://gu#####esportsteam.com/wp-content2/plugins/backupbuddy/views/settings/3.php?h=##############
http://di#####ion.ardinova.com/wp-admin/images/screenshots/2.php?e=##############
http://ec###sehair.com/2.php?x=##############
http://kh####iaorder.com/wp-includes/SimplePie/Cache/3.php?r=##############
http://hi###gyou.us/wp-content/plugins/js_composer/assets/lib/nivoslider/themes/light/4.php?o=##############
http://cl######.#utorepuestopalacios.com/images/articulos/2.php?z=##############
http://ge####letsnow.com/wp-content/pep-vn/static-vars/3.php?w=##############
http://at##vt.com/wp-includes/Text/Diff/1.php?n=##############
http://bi##el.com/media/media/css/1.php?g=##############
http://me##shop.ru/news/5.php?a=##############
http://ja####eagher.com/nextgen-gallery/products/photocrati_nextgen/modules/wpcli/3.php?m=##############
http://da####ollmusic.com/.f622361ee0b4be53991dffe21b5a361f/b/a/2.php?v=##############
http://do#######ketingporinternet.com/wp-admin/user/2.php?v=##############
http://hc##s.com/3.php?l=##############
http://wa#######gefortlauderdale.info/wp-content/cache/1.php?v=##############
http://an####.icodedark.com/wp-content/plugins/js_composer/include/classes/vendors/plugins/acf/5.php?q=##############
http://le###ertabi.net/site/components/com_user/3.php?k=##############
http://ge####llardart.com/wp-admin/network/3.php?x=##############
http://fu#####rerowstores.com/wp-content/plugins/backupbuddy/backupbuddy/views/settings/3.php?r=##############
http://wa#####mgespokane.us/wp-content/cache/supercache/waterdamgespokane.us/2014/08/1.php?t=##############