Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\LdDisk.sys] 'Start' = '00000002'
- [<HKLM>\SYSTEM\ControlSet001\Services\LdDisk.sys] 'ImagePath' = '<DRIVERS>\LdDisk.sys'
Вредоносные функции:
Устанавливает процедуры перхвата сообщений
о нажатии клавиш клавиатуры:
- Библиотека-обработчик для всех процессов: %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdxSysCtrl.dll
оконных сообщений:
- Библиотека-обработчик для всех процессов: %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdxSysCtrl.dll
Завершает или пытается завершить
следующие пользовательские процессы:
- skype.exe
Перехватывает следующие функции в SSDT (System Service Descriptor Table):
- NtCreateFile, драйвер-обработчик: LdDisk.sys
- NtOpenFile, драйвер-обработчик: LdDisk.sys
- NtQueryDirectoryFile, драйвер-обработчик: LdDisk.sys
- NtQueryInformationProcess, драйвер-обработчик: LdDisk.sys
- NtQuerySystemInformation, драйвер-обработчик: LdDisk.sys
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdCab.exe.ldtmp
- \Device\LdDisk\LdDisk0\@tiprayldx@\{6E14600B-A283-4BBD-A780-14087363B18E}\1234.txt.ldtmp
- C:\InetPub\ftproot\Tipray\LdTerm\Log\LdCab.log
- C:\Ld\CRNJEUFU_%USERNAME%\LdDisk.img
- \Device\LdDisk\LdDisk0
- <DRIVERS>\LdDisk.sys
- %TEMP%\@tiprayldx@\forbit.ini
- C:\InetPub\ftproot\Tipray\LdTerm\Log\CRNJEUFU_%USERNAME%\Ldx.log
- %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ldcab.lddat.ldtmp
- %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ldcab.ldind.ldtmp
- %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ldcab.ldx.ldtmp
- %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdReject64.exe.ldtmp
- %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ghhlp32.dll.ldtmp
- %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ghhlp64.dll.ldtmp
- %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ldxghijt64.dll.ldtmp
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\fifo.log
- %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ldxghijt32.dll.ldtmp
- %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdxHook64.dll.ldtmp
- %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ldxghcore64.sys.ldtmp
- %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ldxghcore32.sys.ldtmp
- %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdxShareData64.dll.ldtmp
- %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdxShareData32.dll.ldtmp
- %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdDisk64.sys.ldtmp
- %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\Ldx64.exe.ldtmp
- %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdxGuard.exe.ldtmp
- %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\Forbit.ini.ldtmp
- %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\Lddisk.sys.ldtmp
- %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\detoured.dll.ldtmp
- %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdxSysCtrl.dll.ldtmp
- %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ArLib.dll.ldtmp
- %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\Ldx.exe.ldtmp
- %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdxHook32.dll.ldtmp
- %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\AppList.ini
Удаляет следующие файлы:
- %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdCab.exe
Перемещает следующие файлы:
- %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdCab.exe.ldtmp в %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdCab.exe
- %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ldcab.ldind.ldtmp в %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ldcab.ldind
- %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ldcab.ldx.ldtmp в %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ldcab.ldx
- %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdReject64.exe.ldtmp в %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdReject64.exe
- %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ghhlp32.dll.ldtmp в %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ghhlp32.dll
- %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ghhlp64.dll.ldtmp в %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ghhlp64.dll
- %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ldxghijt64.dll.ldtmp в %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ldxghijt64.dll
- %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ldxghijt32.dll.ldtmp в %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ldxghijt32.dll
- %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdxHook32.dll.ldtmp в %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdxHook32.dll
- %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdxHook64.dll.ldtmp в %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdxHook64.dll
- %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ldxghcore64.sys.ldtmp в %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ldxghcore64.sys
- %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ldcab.lddat.ldtmp в %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ldcab.lddat
- %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ldxghcore32.sys.ldtmp в %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ldxghcore32.sys
- %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdxShareData32.dll.ldtmp в %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdxShareData32.dll
- %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdDisk64.sys.ldtmp в %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdDisk64.sys
- %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\Ldx64.exe.ldtmp в %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\Ldx64.exe
- %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdxGuard.exe.ldtmp в %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdxGuard.exe
- %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\Forbit.ini.ldtmp в %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\Forbit.ini
- %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\Lddisk.sys.ldtmp в %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\Lddisk.sys
- %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\detoured.dll.ldtmp в %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\detoured.dll
- %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdxSysCtrl.dll.ldtmp в %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdxSysCtrl.dll
- %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ArLib.dll.ldtmp в %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\ArLib.dll
- %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\Ldx.exe.ldtmp в %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\Ldx.exe
- %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdxShareData64.dll.ldtmp в %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdxShareData64.dll
- \Device\LdDisk\LdDisk0\@tiprayldx@\{6E14600B-A283-4BBD-A780-14087363B18E}\1234.txt.ldtmp в \Device\LdDisk\LdDisk0\@tiprayldx@\{6E14600B-A283-4BBD-A780-14087363B18E}\1234.txt
Подменяет следующие файлы:
- %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdCab.exe.ldtmp
- %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdCab.exe
Другое:
Создает и запускает на исполнение:
- '%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\Ldx.exe' -srcfile "<Полный путь к файлу>"
- '%TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\LdxGuard.exe' -GuardPath %TEMP%\@tiprayldx@\0c5229525503e9e10b80eed46f1ddb98\
Запускает на исполнение:
- '<SYSTEM32>\format.com' Y:/Q/FS:FAT32/X/FORCE
- '<SYSTEM32>\notepad.exe' Y:\@tiprayldx@\{6E14600B-A283-4BBD-A780-14087363B18E}\1234.txt
