Техническая информация
Вредоносные функции:
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\netstat.exe
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\sdjl\MyData.sqlite3-journal
- %APPDATA%\Microsoft\SystemCertificates\My\Certificates\92B8248E53DB853AA7A89B91EBB70283B2448025
- %APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\7b90a71bfc56f2582e916a51aed6df9a_23ef5514-3059-436f-a4a7-4cefaab20eb1
- %APPDATA%\Microsoft\Protect\CREDHIST
- %WINDIR%\sdjl\client.cer
- %WINDIR%\sdjl\server.key.pem
- %WINDIR%\sdjl\server.pem
- %WINDIR%\sdjl\sdjl.js
- %WINDIR%\sdjl\FiddlerCore4.dll
- %WINDIR%\sdjl\FiddlerCore3dot5.dll
- %WINDIR%\sdjl\FiddlerCore.dll
- %WINDIR%\sdjl\makecert.exe
- %WINDIR%\sdjl\SDJLProxy40.exe
- %WINDIR%\sdjl\SDJLProxy35.exe
- %WINDIR%\sdjl\SDJLProxy20.exe
- %WINDIR%\sdjl\MyData.sqlite3
- %APPDATA%\Microsoft\SystemCertificates\My\Keys\647C87E428418ABF4CBF5855895259ACFF0E5CC4
- <Текущая директория>\IPinTheWorld.ini
Удаляет следующие файлы:
- %WINDIR%\sdjl\MyData.sqlite3-journal
Подменяет следующие файлы:
- %WINDIR%\sdjl\MyData.sqlite3-journal
Сетевая активность:
Подключается к:
- 'se####.shuadanjl.com':3345
- 'localhost':1038
- 'sd##123.com':80
- 'lo###.taobao.com':443
- 'ip##8.com':80
TCP:
Запросы HTTP GET:
- http://www.sd##123.com/readme.htm via sd##123.com
- http://www.sd##123.com/notice.htm via sd##123.com
- http://www.ip##8.com/ip2city.asp via ip##8.com
UDP:
- DNS ASK se####.shuadanjl.com
- DNS ASK www.sd##123.com
- DNS ASK lo###.taobao.com
- DNS ASK www.ip##8.com
Другое:
Добавляет корневой сертификат
Ищет следующие окна:
- ClassName: '' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
Создает и запускает на исполнение:
- '%WINDIR%\sdjl\SDJLProxy40.exe' 8085 8813
- '%WINDIR%\sdjl\makecert.exe' -r -ss my -n "CN=DO_NOT_TRUST_FiddlerRoot, O=DO_NOT_TRUST, OU=Created by http://www.fi###er2.com" -sky signature -eku 1.3.6.1.5.5.7.3.1 -h 1 -cy authority -a sha1 -m 132 -b 07/16/2017
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c netstat -aon | find ":8083 " > c:\~vtmp
- '<SYSTEM32>\cmd.exe' /c del c:\~vtmp
- '<SYSTEM32>\cmd.exe' /c netstat -aon | find ":8084 " > c:\~vtmp
- '<SYSTEM32>\netstat.exe' -aon
- '<SYSTEM32>\find.exe' ":8083 "
- '<SYSTEM32>\cmd.exe' /c netstat -aon | find ":8085 " > c:\~vtmp
