Уязвимые ОС: Win NT-based
Размер: 55,066 байт
Упакован: FSG, UPX
-
При запуске создает %systemroot%\system32\yvpp01.dll и регистрирует эту библиотеку в автозапуске как расширение Winlogon:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\yvpp01
Помимо этого, создает следующие файлы:
DllName = yvpp01.dll
%systemroot%\system32\qo.dll, является копией %systemroot%\system32\yvpp01
%systemroot%\system32\yvpp02.sys
%systemroot%\system32\qo.sys, является копией %systemroot%\system32\yvpp02.sys
%systemroot%\system32\yvpp01.sys, является копией %systemroot%\system32\yvpp02.sys
%systemroot%\system32\kgctini.dat
%systemroot%\system32\lps.dat
- Регистрирует устанавливаемый драйвер в реестре и загружает его посредством системного Service Control Manager.
- Внедряет свою библиотеку в Explorer.exe по механизму удаленных потоков. Обеспечивает загрузчку своего драйвера в Безопасном режиме, модифицируя следующие ветви системного реестра:
- Cтатически отключает защиту памяти ядра от модификации перед изменением адреса перехватываемых функций в KiST:
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Session Manager\Memory Management
EnforceWriteProtection = 0x00000000 (0) - Добавляет процесс explorer.exe в список приложений, которым доступен выход в сеть, для обхода встроенного в Windows межсетевого экрана. После чего блокирует загрузку системных служб «Брандмауэр Windows/Общий доступ к Интернету (ICS)» и «Центр обеспечения безопасности» уделением параметра Start в реестре.
- Осуществляет маскировку системного процесса Explorer.exe.
- Прослушивает два выбранных случайным образом TCP-порта и TCP-порт 16661.
- После перезагрузки Windows BackDoor.Haxdoor.232 маскирует системный процесс Winlogon.exe, который создает удаленные потоки в процессе Explorer.exe. Драйвер %systemroot%\system32\yvpp02.sys перехватывает следующие функции путем подмены адресов функций в KiST:
- В User Mode идет установка перехватов путем модификации машинного кода функций системных библиотек из ядра. Перехватывается функция LdrLoadDll библиотеки ntdll.dll и InternetConnectA wininet.dll. При создании процесса, драйвер внедряет в него код руткита и ставит перехватчик на функцию LdrLoadDll. Таким образом отслеживаются загружаемые библиотекик. При попытке прилож загрузить библиотеку wininet.dll, производится перехват функции InternetConnectA. Что позволяет шпионить за посещаемыми страницами пользователем.
- BackDoor.Haxdoor.232 осуществляет мониторинг ключа автозагрузки (Notify) и пересоздание его в случае удаления/модификации.
- Циклически перепроверяет адреса перехваченных функций, и, в случае не совпадения производит снова перехват. %systemroot%\system32\yvpp01.dll имеет функционал шпиона – осуществляет поиск в реестре ключей, принадлежащих программам ICQ, Miranda, определяет присутствие WM Keeper и ищет пароли, используемые этими программами. Блокирует доступ к сайтам производителей антивирусных средств защиты и серверам обновлений антивирусных продуктов. Анализирует файл историю посещений пользователя сайтов Ebay, E-gold, Paypal (браузером IE). Проверяет список процессов и завершает следующие процессы: zapro.exe
HKEY_LOCAL_MACHINE \SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\yvpp02.sys
HKEY_LOCAL_MACHINE \MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\yvpp02.sys
NtCreateProcess
NtCreateProcessEx
NtOpenThread
NtQueryDirectoryFile
NtQuerySystemInformation
Перехват производится с целью маскировки своих файлов на диске, маскировки заданных процессов, так же для слежения за созданием процессов и потоков.
vsmon.exe
jamapp.exe
atrack.exe
iamapp.exe
FwAct.exe
mpfagent.exe
outpost.exe
zlclient.exe
mpftray.exe
vsmon.exe
Обладает функционалом кейлоггера – следит за буфером обмена (функции OpenClipboard, GetClipboardData, CloseClipboard), опрашивает клавиатуру (GetKeyboardState), определяет окно с котором работает пользователь (GetForegroundWindow, GetFocus), переводит код клавиатуры в ASCII (ToAscii) и ведет логирование (SendMessageA, сохраняя в файле %systemroot%\system32\lps.dat и %systemroot%\system32\kgctini.dat.
1. Отключить инфицированный компьютер от локальной сети и\или Интернета и отключить службу Восстановления системы.
2. С заведомо неинфицированного компьютера скачать бесплатную лечащую утилиту Dr.Web CureIt! и записать её на внешний носитель.
3. Инфицированный компьютер перезагрузить в Безопасный режим (F8 при старте Windows) и просканировать инфицированный компьютер Dr.Web CureIt!. Для найденных объектов применить действие "Лечить".
