Пакер: WinLicense
Дата компиляции и SHA1-хэши:
- 8165872f1dbbb04a2eedf7818e16d8e40c17ce5e (WinDHCP.dll, x64) - 19.05.2017 01:26:24
- 027340983694446b0312abcac72585470bf362da (WinDHCP.dll, x86) - 19.05.2017 01:26:31
Описание
Является одним из компонентов троянца Belonard. Оригинальное имя — srv32.dll (x86), srv.dll (x64). Представляет собой библиотеку WinDHCP.dll с экспортом ServiceMain. На зараженном устройстве устанавливается службой с автоматическим стартом. Создается троянцем Mssv16.asi (Trojan.Belonard.3). Запускает davapi.dll (Trojan.Belonard.6) и spwinres.dll (Trojan.Belonard.4).
Принцип действия
Проверяет в реестре ключ HKLM\\SYSTEM\\CurrentControlSet\\Services\\WinDHCP параметр "Tag". Если там 0, загружает библиотеку davapi.dll и вызывает ее экспорт "x", передавая аргументом указатель на структуру SERVICE_STATUS, характеризующую состояние сервиса WinDHCP. Затем троянец ждет 1 секунду и снова проверяет параметр "Tag". Если в нем не нулевое значение, троянец загружает библиотеку spwinres.dll и вызывает ее экспорт "x", передавая аргументом указатель на структуру SERVICE_STATUS, характеризующую состояние сервиса WinDHCP.
Троянец повторяет все описанные действия каждую секунду.
Параметры службы WinDHCP, взятые из отчета нашего клиента:
<RegistryKey Name="WinDHCP" Subkeys="1" Values="11">
<RegistryKey Name="Parameters" Subkeys="0" Values="1">
<RegistryValue Name="ServiceDll" Type="REG_EXPAND_SZ" SizeInBytes="68" Value="%SystemRoot%\system32\WinDHCP.dll" />
</RegistryKey>
<RegistryValue Name="Type" Type="REG_DWORD" Value="32" />
<RegistryValue Name="Start" Type="REG_DWORD" Value="2" />
<RegistryValue Name="ErrorControl" Type="REG_DWORD" Value="0" />
<RegistryValue Name="ImagePath" Type="REG_EXPAND_SZ" SizeInBytes="90" Value="%SystemRoot%\System32\svchost.exe -k netsvcs" />
<RegistryValue Name="DisplayName" Type="REG_SZ" Value="Служба Windows DHCP" />
<RegistryValue Name="ObjectName" Type="REG_SZ" Value="LocalSystem" />
<RegistryValue Name="Description" Type="REG_SZ" Value="Служба протокола динамической настройки узла Windows" />
<RegistryValue Name="Tag" Type="REG_DWORD" Value="0" />
<RegistryValue Name="Data" Type="REG_BINARY" SizeInBytes="32" Value="f0dd5c3aeda155767042fa9f58ade24681af5fbd45d5df9f55a759bd65bc0b7e" />
<RegistryValue Name="Scheme" Type="REG_BINARY" SizeInBytes="16" Value="dcef62f71f8564291226d1628278239e" />
<RegistryValue Name="Info" Type="REG_BINARY" SizeInBytes="32" Value="55926164986c6020c60ad81b887c616db85f191fda743d470f392bb45975dfeb" />
</RegistryKey>
Параметры Tag, Data, Scheme, Info заполняются davapi.dll.
