BackDoor.Haxdoor.321

Тип вируса: Программа удалённого администрирования

Размер: 59051 байт

Уязвимые ОС: Win95/98/NT/2k/XP/2k3

Упакован: FSG

Техническая информация

При своём запуске создаёт следующие файлы:
%Windir%\System32\seppgs.dll, %Windir%\System32\qz.dll (42002 байт, упакован UPX, детектируются антивирусом Dr.Web как Backdoor.Haxdoor.321) %Windir%\System32\twpkbd.sys, %Windir%\System32\zq.sys (21888 байт, упакован UPolyX, детектируются антивирусом Dr.Web как Backdoor.Haxdoor.321)

Для обеспечения автозагрузки своих модулей создаёт следующие разделы и ключи системного реестра:
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\seppgs

Устанавливает свой драйвер как службу и обеспечивает свой запуск независимо от режима загрузки Windows. Для этого создаёт следующие ключи в системном реестре:

HKLM\SYSTEM\ControlSetXXX\Control\SafeBoot\Minimal\seppgm.sys
HKLM\SYSTEM\ControlSetXXX\Control\SafeBoot\\Control\SafeBoot\Minimal\seppgm.sys
HKLM\SYSTEM\ControlSetXXX\\Control\SafeBoot\Network\seppgm.sys
HKLM\SYSTEM\ControlSetXXX\\Control\SafeBoot\Network\seppgm.sys

Выводимые имена служб: "TCP x IP2 Kernel" и "TCP x IP2 Kernel32".

Файл seppgs.dll внедряется в память процесса Explorer.exe и в память всех запускаемых процессов.

Для обхода стандартного брандмауэра Windows XP SP 2 создаёт ключ в реестре:
HKLM\SYSTEM\ControlSetXXX\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List\%Windir%\Explorer.EXE: "%Windir%\Explorer.EXE:*:Enabled:explorer"

Перехват обеспечивает модуль режима ядра seppgm.sys. Перехват выполняется методом модификации таблицы KiST.

Удаляет в системном реестре следующие подразделы:

HKLM\SOFTWARE\Agnitum\Outpost Firewall
HKLM\SOFTWARE\Agnitum\Outpost Firewall\Paths

Маскирует своё присутствие в системе, перехватывая следующие функции ядра:

NtCreateProcess
NtCreateProcessEx
NtOpenProcess
NtOpenThread
NtQueryDirectoryFile
NtQuerySystemInformation

Препятствует установлению соединения с сайтами, содержащими в доменном имени строки:

vp.ch
avp.com
avp.ru
awaps.net
customer.symantec.com
dispatch.mcafee.com
download.mcafee.com
downloads1.kaspersky-labs.com
downloads1.kaspersky-labs.com
downloads1.kaspersky-labs.com
downloads2.kaspersky-labs.com
downloads3.kaspersky-labs.com
downloads4.kaspersky-labs.com
downloads-us1.kaspersky-labs.com
downloads-us2.kaspersky-labs.com
downloads-us3.kaspersky-labs.com
engine.awaps.net
f-secure.com
ftp.avp.ch
ftp.downloads2.kaspersky-labs.com
ftp.f-secure.com
ftp.kasperskylab.ru
ftp.kaspersky.ru
d-ru-1f.kaspersky-labs.com
d-ru-2f.kaspersky-labs.com
d-eu-1f.kaspersky-labs.com
d-eu-2f.kaspersky-labs.com
d-us-1f.kaspersky-labs.com
ftp.sophos.com
ids.kaspersky-labs.com
kaspersky.com
kaspersky-labs.com
liveupdate.symantec.com
liveupdate.symantec.com
liveupdate.symantec.com
liveupdate.symantecliveupdate.com
liveupdate.symantecliveupdate.com
mast.mcafee.com
mcafee.com
my-etrust.com
networkassociates.com
phx.corporate-ir.net
rads.mcafee.com
securityresponse.symantec.com
service1.symantec.com
sophos.com
spd.atdmt.com
symantec.com
trendmicro.com
update.symantec.com
updates.symantec.com
updates1.kaspersky-labs.com
updates1.kaspersky-labs.com
updates2.kaspersky-labs.com
updates3.kaspersky-labs.com
updates3.kaspersky-labs.com
updates4.kaspersky-labs.com
updates5.kaspersky-labs.com
us.mcafee.com
virustotal.com