Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие сервисы
- [<HKLM>\System\CurrentControlSet\Services\entryprotectdrv] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\entryprotectdrv] 'ImagePath' = '%ProgramFiles(x86)%\SentryBay\EntryProtect\entryprotect.sys'
- [<HKLM>\System\CurrentControlSet\Services\epinject6] 'Start' = '00000001'
- [<HKLM>\System\CurrentControlSet\Services\epinject6] 'ImagePath' = '%ProgramFiles(x86)%\SentryBay\EntryProtect\epinject.sys'
- [<HKLM>\System\CurrentControlSet\Services\epinjectsvc] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\epinjectsvc] 'ImagePath' = '%ProgramFiles(x86)%\SentryBay\EntryProtect\inject.exe'
Вредоносные функции
Создает и загружает библиотеки (эксплоит)
- %ProgramFiles(x86)%\sentrybay\entryprotect\epclient64.dll
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\wbem\wmiprvse.exe
- <SYSTEM32>\svchost.exe
- <SYSTEM32>\wudfhost.exe
- <SYSTEM32>\taskhost.exe
- <SYSTEM32>\spoolsv.exe
- %WINDIR%\explorer.exe
- <SYSTEM32>\dwm.exe
- <SYSTEM32>\lsm.exe
- <SYSTEM32>\lsass.exe
- <SYSTEM32>\services.exe
- <SYSTEM32>\winlogon.exe
- <SYSTEM32>\csrss.exe
- <SYSTEM32>\wininit.exe
следующие пользовательские процессы:
- iexplore.exe
- firefox.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\dashborder_192.bmp
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\tmpe96c.exe
- %ProgramFiles(x86)%\sentrybay\entryprotect\uninstall_.exe
- %WINDIR%\temp\uddf40c.tmp
- %WINDIR%\temp\uddf294.tmp
- <SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\epinject.cat
- %ProgramFiles(x86)%\sentrybay\entryprotect\inject.exe
- %ProgramFiles(x86)%\sentrybay\entryprotect\epinject.cat.6.4.0.11671.new
- %ProgramFiles(x86)%\sentrybay\entryprotect\epinject.sys.6.4.0.11671.new
- <SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\1.cat
- %TEMP%\nskeb72.tmp\service.dll
- %ProgramFiles(x86)%\sentrybay\entryprotect\entryprotect.cat.6.4.0.11671.new
- %ProgramFiles(x86)%\sentrybay\entryprotect\entryprotect.sys.6.4.0.11671.new
- %ProgramFiles(x86)%\sentrybay\entryprotect\epclient64.dll.6.4.0.11671.new
- %ProgramFiles(x86)%\sentrybay\entryprotect\epclient32.dll.6.4.0.11671.new
- %TEMP%\nskeb72.tmp\system.dll
- %TEMP%\nsueb61.tmp
- %ProgramFiles(x86)%\sentrybay\entryprotect\install.log
- %ProgramFiles(x86)%\sentrybay\entryprotect\uninstall.exe
Присваивает атрибут 'скрытый' для следующих файлов
- <SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\1.cat
- <SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\epinject.cat
Удаляет следующие файлы
- %WINDIR%\temp\uddf294.tmp
- %WINDIR%\temp\uddf40c.tmp
- %TEMP%\nskeb72.tmp\service.dll
- %TEMP%\nskeb72.tmp\system.dll
- %TEMP%\tmpe96c.exe
Перемещает следующие файлы
- %ProgramFiles(x86)%\sentrybay\entryprotect\epclient32.dll.6.4.0.11671.new в %ProgramFiles(x86)%\sentrybay\entryprotect\epclient32.dll
- %ProgramFiles(x86)%\sentrybay\entryprotect\epclient64.dll.6.4.0.11671.new в %ProgramFiles(x86)%\sentrybay\entryprotect\epclient64.dll
- %ProgramFiles(x86)%\sentrybay\entryprotect\entryprotect.sys.6.4.0.11671.new в %ProgramFiles(x86)%\sentrybay\entryprotect\entryprotect.sys
- %ProgramFiles(x86)%\sentrybay\entryprotect\entryprotect.cat.6.4.0.11671.new в %ProgramFiles(x86)%\sentrybay\entryprotect\entryprotect.cat
- %ProgramFiles(x86)%\sentrybay\entryprotect\epinject.sys.6.4.0.11671.new в %ProgramFiles(x86)%\sentrybay\entryprotect\epinject.sys
- %ProgramFiles(x86)%\sentrybay\entryprotect\epinject.cat.6.4.0.11671.new в %ProgramFiles(x86)%\sentrybay\entryprotect\epinject.cat
Другое
Создает и запускает на исполнение
- '%TEMP%\tmpe96c.exe' "/installdir="%ProgramFiles(x86)%\SentryBay\EntryProtect""
- '%ProgramFiles(x86)%\sentrybay\entryprotect\inject.exe' install "%ProgramFiles(x86)%\SentryBay\EntryProtect\epinject.sys" "%ProgramFiles(x86)%\SentryBay\EntryProtect\epinject.cat"
- '%ProgramFiles(x86)%\sentrybay\entryprotect\inject.exe' inject "%ProgramFiles(x86)%\SentryBay\EntryProtect\epclient32.dll" "%ProgramFiles(x86)%\SentryBay\EntryProtect\epclient64.dll"
