Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'ScanRegistry' = ''
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices] 'SchedulingAgent' = ''
Создает или изменяет следующие файлы:
- %ALLUSERSPROFILE%\Start Menu\Programs\Startup\BlueDragon.exe
Подменяет следующие исполняемые системные файлы:
- <SYSTEM32>\dllcache\rstrui.exe файлом <SYSTEM32>\dllcache\rstrui.exe.new
- <SYSTEM32>\dllcache\taskmgr.exe файлом <SYSTEM32>\dllcache\taskmgr.exe.new
- <SYSTEM32>\dllcache\cmd.exe файлом <SYSTEM32>\dllcache\cmd.exe.new
- <SYSTEM32>\Restore\rstrui.exe файлом <SYSTEM32>\Restore\rstrui.exe.new
- <SYSTEM32>\taskmgr.exe файлом <SYSTEM32>\taskmgr.exe.new
- <SYSTEM32>\cmd.exe файлом <SYSTEM32>\cmd.exe.new
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Диспетчера задач (Taskmgr)
- Редактора реестра (RegEdit)
Запускает на исполнение:
- <SYSTEM32>\logonui.exe /status
Изменяет следующие настройки проводника Windows (Windows Explorer):
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoTrayContextMenu' = ''
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoViewContextMenu' = ''
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoSaveSettings' = ''
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoSetFolders' = '000F4240'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoSetTaskbar' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoRecentDocsMenu' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoFavoritesMenu' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoDesktop' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoFind' = '00000001'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer] 'NoDesktop' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoRun' = '1'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoRun' = ''
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoDrives' = '03FFFFFF'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoLogOff' = ''
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoClose' = ''
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Пытается завершить работу операционной системы Windows.
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\BlueDragon.exe
- <SYSTEM32>\win.exe
- C:\BlueDragon.exe
Удаляет следующие файлы:
- <SYSTEM32>\dllcache\msconfig.exe
- %WINDIR%\pchealth\helpctr\binaries\msconfig.exe
- <SYSTEM32>\cmd.exe
- <SYSTEM32>\Restore\rstrui.exe
- <SYSTEM32>\taskmgr.exe
Другое:
Ищет следующие окна:
- ClassName: 'StatusWindowClass' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
