Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'run' = ''
- [<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'load' = ''
- [<HKLM>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'shell' = 'Explorer.exe '
- [<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'run' = '%WINDIR%\gFOHk\hHZLBS.exe'
- [<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'load' = '%WINDIR%\gFOHk\hHZLBS.exe'
- [<HKLM>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'shell' = 'Explorer.exe %WINDIR%\gFOHk\hHZLBS.exe'
Создает следующие сервисы
- [<HKLM>\System\CurrentControlSet\Services\Application Layre Gateway Saervice] 'ImagePath' = 'cmd.exe /c start %WINDIR%\boy.exe'
Вредоносные функции
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'OLLYDBG', WindowName: ''
- ClassName: 'GBDYLLO', WindowName: ''
- ClassName: 'pediy06', WindowName: ''
- ClassName: 'FilemonClass', WindowName: ''
- ClassName: '', WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
- ClassName: '', WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'RegmonClass', WindowName: ''
- ClassName: '', WindowName: 'Registry Monitor - Sysinternals: www.sysinternals.com'
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\gfohk\tscl.html
- %WINDIR%\gfohk\libeay32.dll
- %WINDIR%\gfohk\libiconv-2.dll
- %WINDIR%\gfohk\libxml2.dll
- %WINDIR%\gfohk\pcla-0.dll
- %WINDIR%\gfohk\pcre-0.dll
- %WINDIR%\gfohk\pcrecpp-0.dll
- %WINDIR%\gfohk\pcreposix-0.dll
- %WINDIR%\gfohk\posh.dll
- %WINDIR%\gfohk\posh-0.dll
- %WINDIR%\gfohk\riar.dll
- %WINDIR%\gfohk\riar-2.dll
- %WINDIR%\gfohk\ssleay32.dll
- %WINDIR%\gfohk\tibe-1.dll
- %WINDIR%\gfohk\zlib1.dll
- %WINDIR%\gfohk\tibe-2.dll
- %WINDIR%\gfohk\trch.dll
- %WINDIR%\gfohk\trch-0.dll
- %WINDIR%\gfohk\trch-1.dll
- %WINDIR%\gfohk\trfo.dll
- %WINDIR%\gfohk\trfo-0.dll
- %WINDIR%\gfohk\trfo-2.dll
- %WINDIR%\gfohk\tucl.dll
- %WINDIR%\gfohk\tucl-1.dll
- %WINDIR%\gfohk\ucl.dll
- %WINDIR%\gfohk\xdvl-0.dll
- %WINDIR%\gfohk\zibe.dll
- %WINDIR%\gfohk\libcurl.dll
- %WINDIR%\gfohk\tibe.dll
- %WINDIR%\gfohk\iconv.dll
- %WINDIR%\gfohk\adfw-2.dll
- %WINDIR%\ime\tps.exe
- %WINDIR%\boy.exe
- %WINDIR%\gfohk\hhzlbs.exe
- %WINDIR%\end.bat
- %WINDIR%\gfohk\qdx.bat
- %WINDIR%\gfohk\chrome..exe
- %WINDIR%\gfohk\chrome..xml
- %WINDIR%\gfohk\chrome..fb
- %WINDIR%\gfohk\cstr.exe
- %WINDIR%\gfohk\cstr.fb
- %WINDIR%\gfohk\cstr.xml
- %WINDIR%\gfohk\adfw.dll
- %WINDIR%\gfohk\cnli-0.dll
- %WINDIR%\gfohk\exma.dll
- %WINDIR%\gfohk\cnli-1.dll
- %WINDIR%\gfohk\coli-0.dll
- %WINDIR%\gfohk\crli-0.dll
- %WINDIR%\gfohk\dmgd-1.dll
- %WINDIR%\gfohk\dmgd-4.dll
- %WINDIR%\gfohk\esco-0.dll
- %WINDIR%\gfohk\etch-0.dll
- %WINDIR%\gfohk\etchcore-0.x64.dll
- %WINDIR%\gfohk\etchcore-0.x86.dll
- %WINDIR%\gfohk\eteb-2.dll
- %WINDIR%\gfohk\etebcore-2.x64.dll
- %WINDIR%\gfohk\etebcore-2.x86.dll
- %WINDIR%\gfohk\exma-1.dll
- %WINDIR%\gfohk\tff
Удаляет следующие файлы
- %WINDIR%\end.bat
- %WINDIR%\gfohk\qdx.bat
Самоудаляется.
Сетевая активность
UDP
- DNS ASK ip.#322.net
Другое
Ищет следующие окна
- ClassName: '18467-41' WindowName: ''
- ClassName: '#32770' WindowName: 'chrome..exe - Ó¦ÓóÌÐò´ГГЋГі'
Создает и запускает на исполнение
- '%WINDIR%\gfohk\hhzlbs.exe'
- '<SYSTEM32>\cmd.exe' /c del "<Полный путь к файлу>"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c ""%WINDIR%\end.bat" "' (со скрытым окном)
- '<SYSTEM32>\sc.exe' Create "Application Layre Gateway Saervice" type= own type= interact start= demand DisplayName= "Can not be deledted" binPath= "cmd.exe /c start "%WINDIR%\boy.exe"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c ""%WINDIR%\gFOHk\qdx.bat" "' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c del "<Полный путь к файлу>"
- '<SYSTEM32>\cmd.exe' /c ""%WINDIR%\end.bat" "
- '<SYSTEM32>\netsh.exe' ipsec static add policy name=ipsec_ply
- '<SYSTEM32>\netsh.exe' ipsec static add filterlist name=deny_pt
- '<SYSTEM32>\sc.exe' Create "Application Layre Gateway Saervice" type= own type= interact start= demand DisplayName= "Can not be deledted" binPath= "cmd.exe /c start "%WINDIR%\boy.exe"
- '<SYSTEM32>\cmd.exe' /c ""%WINDIR%\gFOHk\qdx.bat" "
- '<SYSTEM32>\schtasks.exe' /create /TN "\Microsoft\Windows\UPnP\Services" /RU SYSTEM /TR "%WINDIR%\gFOHk\hHZLBS.exe" /SC ONSTART
