Пакер: WinLicense
SHA1:
- 72a311bcca1611cf8f5d4d9b4650bc8fead263f1 (Mssv16.asi, x86)
- 2bf76c89467cb7c1b8c0a655609c038ae99368e9 (Mssv16.asi, x86)
- d37b21fe222237e57bc589542de420fbdaa45804 (Mssv16.asi, wow64)
- 6b03e0dd379965ba76b1c3d2c0a97465329364f2 (Mssv16.asi, wow64)
Описание
Является одним из компонентов троянца Belonard. Оригинальное имя — Mssv16.asi, имя при компиляции — Mssv16.dll. Имеет экспорты «xW» и «yW». Попадает на устройство за счет Trojan.Belonard.5 или Trojan.Belonard.2. Создает и запускает WinDHCP.dll (Trojan.Belonard.7) и davapi.dll (Trojan.Belonard.6).
Принцип действия
В DllMain удаляет файл Mssv24.asi (Trojan.Belonard.5). После чего проверяет процесс, в контексте которого работает. Если это не rundll32.exe, тогда с помощью rundll32.exe вызывает свой экспорт «y». В зависимости от того, запущен ли сервис WinDHCP (Trojan.Belonard.7), вызывается один из экспортов. Функция «yW» устанавливает сервис, если имеется флаг о необходимости установки. Функция «xW» устанавливает сервис и в том случае, если сервис не запущен.
Создает мьютекс «Counter-Strike 1.6», после чего распаковывает из своего тела файл Mssv24.asi (в версии от 21.10.2018 файл Mssv24.asi больше не используется). Задает для него время создания/модификации/доступа аналогично одному из компонентов: Mssv12.asi, Mssv29.asi, Mss32.dll или hl.exe. Запускает через rundll32 свой экспорт «x».
Для установки сервиса WinDHCP троянец сохраняет в system32 файлы WinDHCP.dll и davapi.dll. При этом, в отличие от Mssv24.asi, WinDHCP.dll и davapi.dll хранятся в теле троянца не целыми файлами. Тела этих двух файлов разбиты на блоки по 0xFFFC байт, где последний блок может иметь меньший размер. При сохранении на диск троянец склеивает блоки для получения рабочего файла.
После этого троянец создает сервис WinDHCP для запуска одноименной библиотеки в контексте svchost.exe. В зависимости от языковых настроек ОС использует русские или английские тексты для задания параметров службы.
Параметры службы
- Название службы: «Windows DHCP Service» или «Служба Windows DHCP».
- Описание: «Windows Dynamic Host Configuration Protocol Service» или «Служба протокола динамической настройки узла Windows».
- В параметре ImagePath записывает %SystemRoot%\System32\svchost.exe -k netsvcs, а в ServiceDll указывает путь до троянской библиотеки.
Соответствие модулей и дат компиляции
| Mssv16.asi | Mssv24.asi | WinDHCP.dll | davapi.dll |
|---|---|---|---|
| 72a311bcca1611cf8f5d4d9b4650bc8fead263f1 15.04.2018 13:48:49 | 4b4da2c0a992d5f7884df6ea9cc0094976c1b4b3 (x86) 28.12.2017 21:37:02 | 027340983694446b0312abcac72585470bf362da (x86) 19.05.2017 01:26:31 | 73ba54f9272468fbec8b1d0920b3284a197b3915(x86) 15.04.2018 13:42:52 |
| 2bf76c89467cb7c1b8c0a655609c038ae99368e9 21.10.2018 11:39:47 | - | 027340983694446b0312abcac72585470bf362da (x86) 19.05.2017 01:26:31 | 73ba54f9272468fbec8b1d0920b3284a197b3915(x86) 15.04.2018 13:42:52 |
| d37b21fe222237e57bc589542de420fbdaa45804 15.04.2018 13:49:36 | 4b4da2c0a992d5f7884df6ea9cc0094976c1b4b3(x86) 28.12.2017 21:37:02 | 8165872f1dbbb04a2eedf7818e16d8e40c17ce5e (x64) 19.05.2017 01:26:24 | d6f2a7f09d406b4f239efb2d9334551f16b4de16 (x64) 15.04.2018 13:42:46 |
| 6b03e0dd379965ba76b1c3d2c0a97465329364f2 21.10.2018 11:40:28 | - | 8165872f1dbbb04a2eedf7818e16d8e40c17ce5e(x64) 19.05.2017 01:26:24 | d6f2a7f09d406b4f239efb2d9334551f16b4de16 (x64) 15.04.2018 13:42:46 |
