Trojan.Encoder.2836

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '1e6f17d9' = '%APPDATA%\1e6f17d9.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '1e6f17d' = 'C:\1e6f17d9\1e6f17d9.exe'

Создает или изменяет следующие файлы:

%HOMEPATH%\Start Menu\Programs\Startup\1e6f17d9.exe

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует:

Компонент восстановления системы (SR)

Запускает на исполнение:

'<SYSTEM32>\vssadmin.exe' Delete Shadows /All /Quiet
'<SYSTEM32>\svchost.exe' netsvcs
'%WINDIR%\explorer.exe'

Внедряет код в

следующие системные процессы:

<SYSTEM32>\svchost.exe

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\1e6f17d9.exe
C:\1e6f17d9\1e6f17d9.exe

Сетевая активность:

Подключается к:

'at##vt.com':80
'an######ikzeminkaplama.com':80
'de####illo.com.mx':80
'ec###sehair.com':80
'da####ollmusic.com':80
'br######gmentationnow.com':80
'el####asonsmith.com':80
'de####telymale.com':80
'hc##s.com':80
'en###cade.org':80
'wa#######gefortlauderdale.info':80
'me###msatun.com':80
'ag##gh.com':80
'me##shop.ru':80
'vi###riaro.ru':80
'ex######olaresdilosport.com':80
'as####toshiko.com':80
'he#####airmasters.com':80
'by###rders.com':80
'el######ngempresarial.com':80
'an####.icodedark.com':80
'my####rnalip.com':80
'ip##ddr.es':80
'ik###trina.com':80
'cu###yip.com':80
'gl#####reecafegirl.com':80
'wa#####mgespokane.us':80
'al##rot.com':80
'co####ntenerife.com':80
'ja####eagher.com':80
'kh####iaorder.com':80
'bi##el.com':80
'gj#####icambridge.com':80

TCP:

Запросы HTTP GET:

http://cu###yip.com/
http://my####rnalip.com/raw
http://ip##ddr.es/

Запросы HTTP POST:

http://at##vt.com/wp-includes/Text/Diff/1.php?f=############
http://ec###sehair.com/2.php?p=############
http://de####illo.com.mx/himnofjr/2.php?p=############
http://an######ikzeminkaplama.com/wp-includes/theme-compat/1.php?p=############
http://da####ollmusic.com/.f622361ee0b4be53991dffe21b5a361f/b/a/2.php?h=############
http://de####telymale.com/wp-content/cache/supercache/definitelymale.com/2.php?w=############
http://el####asonsmith.com/wp-content/plugins/wp-hide-post/2.php?b=############
http://me##shop.ru/news/5.php?u=############
http://hc##s.com/3.php?x=############
http://me###msatun.com/wp-includes/SimplePie/Net/3.php?q=############
http://wa#######gefortlauderdale.info/wp-content/cache/1.php?h=############
http://en###cade.org/documentos/2014/05/3.php?h=############
http://ag##gh.com/wos/js/1.php?e=############
http://ex######olaresdilosport.com/wp-includes/SimplePie/Decode/HTML/3.php?m=############
http://vi###riaro.ru/wp-content/plugins/tubepress/src/main/web/js/jscolor/4.php?a=############
http://el######ngempresarial.com/wp-admin/user/2.php?l=############
http://kh####iaorder.com/wp-includes/SimplePie/Cache/3.php?o=############
http://ja####eagher.com/nextgen-gallery/products/photocrati_nextgen/modules/wpcli/3.php?z=############
http://an####.icodedark.com/wp-content/plugins/js_composer/include/classes/vendors/plugins/acf/5.php?t=############
http://ik###trina.com/wp-includes/theme-compat/3.php?p=############
http://by###rders.com/2.php?u=############
http://he#####airmasters.com/Demo_Preliminar_helths/wc-logs/3.php?n=############
http://gj#####icambridge.com/OLD%20FILES/new-site/images/3.php?n=############
http://al##rot.com/wp-content/uploads/1.php?h=############
http://as####toshiko.com/parts/org/1.php?c=############
http://br######gmentationnow.com/wp-content/plugins/contact-form-7/languages/2.php?z=############
http://co####ntenerife.com/wp-content/plugins/post-ratings/templates/2.php?w=############
http://bi##el.com/media/media/css/1.php?f=############
http://wa#####mgespokane.us/wp-content/cache/supercache/waterdamgespokane.us/2014/08/1.php?v=############
http://gl#####reecafegirl.com/wp-admin/user/3.php?k=############