Trojan.Win32. Qhost.b

Троянская программа, предназначенная для изменения соответствий доменных имен IP-адресам.

Троянская программа, предназначенная для изменения соответствий доменных имен IP-адресам. Является исполняемым файлом Windows (PE EXE-файл). Имеет размер 20585 байт. Написана на Borland Delphi. Упакована FSG. Размер распакованного файла — около 70 Кб.

Деструктивная активность

Троянец модифицирует системный файл ОС Windows «%System%\drivers\etc\hosts», который используется для перевода доменных имен (DNS) в IP-адреса, путем добавления в него следующих строк:

 127.0.0.1 http://downloads4.kaspersky-labs.com
 127.0.0.1 http://downloads3.kaspersky-labs.com
 127.0.0.1 http://downloads2.kaspersky-labs.com
 127.0.0.1 http://downloads1.kaspersky-labs.com
 127.0.0.1 ftp://downloads4.kaspersky-labs.com
 127.0.0.1 ftp://downloads3.kaspersky-labs.com
 127.0.0.1 ftp://downloads2.kaspersky-labs.com
 127.0.0.1 ftp://downloads1.kaspersky-labs.com
 127.0.0.1 downloads-us1.kaspersky-labs.com
 127.0.0.1 rads.mcafee.com
 127.0.0.1 http://www.secuser.com
 127.0.0.1 a188.x.akamai.net
 127.0.0.1 liveupdate.symantecliveupdate.com
 127.0.0.1 liveupdate.symantec.com
 127.0.0.1 liveupdate.symantec.d4p.net
 127.0.0.1 update.symantec.com
 127.0.0.1 ftp.nai.com
 127.0.0.1 www.grisoft.cz
 127.0.0.1 www.grisoft.com
 127.0.0.1 free.grisoft.cz
 127.0.0.1 tds.diamondcs.com.au
 127.0.0.1 ieupdate.gdata.de
 127.0.0.1 ieupdate6.gdata.de
 127.0.0.1 ieupdate5.gdata.de
 127.0.0.1 ieupdate4.gdata.de
 127.0.0.1 ieupdate3.gdata.de
 127.0.0.1 ieupdate2.gdata.de
 127.0.0.1 ieupdate1.gdata.de
 127.0.0.1 www.iavs.cz
 127.0.0.1 download7.avast.com
 127.0.0.1 download6.avast.com
 127.0.0.1 download5.avast.com
 127.0.0.1 download4.avast.com
 127.0.0.1 download3.avast.com
 127.0.0.1 download2.avast.com
 127.0.0.1 download1.avast.com
 127.0.0.1 upgrade.bitdefender.com
 127.0.0.1 windowsupdate.microsoft.com
 127.0.0.1 www.lavasoftusa.com
 127.0.0.1 www.a-2.org
 127.0.0.1 updates.a-2.org
 127.0.0.1 niuone.norman.no
 127.0.0.1 www.diamondcs.com.au
 127.0.0.1 www.attechnical.com
 127.0.0.1 www.zeylstra.nl
 127.0.0.1 fractus.mat.uson.mx
 127.0.0.1 www.toonbox.de
 127.0.0.1 radius.turvamies.com
 127.0.0.1 diamondcs.fileburst.com
 127.0.0.1 downloads.My-eTrust.com
 127.0.0.1 acs.pandasoftware.com
 127.0.0.1 v4.windowsupdate.microsoft.com
 127.0.0.1 www.NoAdware.net
 127.0.0.1 www.nod32.com
 127.0.0.1 www.eset.sk
 127.0.0.1 avu.zonelabs.com
 127.0.0.1 retail.sp.f-secure.com
 127.0.0.1 retail01.sp.f-secure.com
 127.0.0.1 retail02.sp.f-secure.com
 127.0.0.1 www.moosoft.com
 127.0.0.1 secuser.model-fx.com
 127.0.0.1 secuser.com
 127.0.0.1 downloads-eu1.kaspersky-labs.com
 127.0.0.1 downloads2.kaspersky-labs.com
 127.0.0.1 downloads4.kaspersky-labs.com
 127.0.0.1 downloads1.kaspersky-labs.com
 127.0.0.1 pccreg.antivirus.com
 127.0.0.1 dl1.antivir.de
 127.0.0.1 dl2.antivir.de
 127.0.0.1 dl3.antivir.de
 127.0.0.1 dl4.antivir.de

Подобная модификация системного файла «%System%\drivers\etc\hosts» приводит к невозможности обращения к ресурсам данных доменных имен.

Telegram Подписывайтесь на канал "SecurityLab" в Telegram, чтобы первыми узнавать о новостях и эксклюзивных материалах по информационной безопасности.