Trojan.Encoder.2747

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ec525f4' = '%APPDATA%\ec525f4.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ec525f' = 'C:\ec525f4\ec525f4.exe'

Создает или изменяет следующие файлы:

%HOMEPATH%\Start Menu\Programs\Startup\ec525f4.exe

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует:

Компонент восстановления системы (SR)

Запускает на исполнение:

'<SYSTEM32>\vssadmin.exe' Delete Shadows /All /Quiet
'<SYSTEM32>\svchost.exe' netsvcs
'%WINDIR%\explorer.exe'

Внедряет код в

следующие системные процессы:

<SYSTEM32>\svchost.exe

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\ec525f4.exe
C:\ec525f4\ec525f4.exe

Сетевая активность:

Подключается к:

'ma########alianzasestrategicas.com':80
'pi##s.nl':80
'ko###elp.com':80
'ge####letsnow.com':80
'kh####iaorder.com':80
'le#####hiptrifecta.com':80
'as####toshiko.com':80
'el####asonsmith.com':80
'bi##el.com':80
'do#######ketingporinternet.com':80
'an####.icodedark.com':80
'co####ntenerife.com':80
'en###cade.org':80
'cu###yip.com':80
'ip##ddr.es':80
'my####rnalip.com':80
'al####anbakery.com':80
'el######ngempresarial.com':80
'ik###trina.com':80
'wa#####mgespokane.us':80
'vi###riaro.ru':80
'ka####eservat.com':80

TCP:

Запросы HTTP GET:

http://cu###yip.com/
http://my####rnalip.com/raw
http://ip##ddr.es/

Запросы HTTP POST:

http://pi##s.nl/test/wp-content/plugins/userpro/addons/redirects/admin/scripts/5.php?y=###############
http://le#####hiptrifecta.com/3.php?g=###############
http://ko###elp.com/wp-includes/certificates/3.php?a=###############
http://ma########alianzasestrategicas.com/wp-admin/user/3.php?f=###############
http://do#######ketingporinternet.com/wp-admin/user/2.php?s=###############
http://as####toshiko.com/parts/org/1.php?e=###############
http://el####asonsmith.com/wp-content/plugins/wp-hide-post/2.php?e=###############
http://an####.icodedark.com/wp-content/plugins/js_composer/include/classes/vendors/plugins/acf/5.php?b=###############
http://bi##el.com/media/media/css/1.php?j=###############
http://kh####iaorder.com/wp-includes/SimplePie/Cache/3.php?n=###############
http://al####anbakery.com/wiki/dll/1.php?d=###############
http://vi###riaro.ru/wp-content/plugins/tubepress/src/main/web/js/jscolor/4.php?t=###############
http://co####ntenerife.com/wp-content/plugins/post-ratings/templates/2.php?k=###############
http://en###cade.org/documentos/2014/05/3.php?o=###############
http://ka####eservat.com/wp-content/plugins/js_composer/assets/lib/vcIconPicker/themes/grey-theme/5.php?b=###############
http://ik###trina.com/wp-includes/theme-compat/3.php?v=###############
http://ge####letsnow.com/wp-content/pep-vn/static-vars/3.php?h=###############
http://wa#####mgespokane.us/wp-content/cache/supercache/waterdamgespokane.us/2014/08/1.php?o=###############
http://el######ngempresarial.com/wp-admin/user/2.php?z=###############