Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\entryprotectdrv] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\entryprotectdrv] 'ImagePath' = '%ProgramFiles(x86)%\SentryBay\EntryProtect\entryprotect.sys'
- [<HKLM>\System\CurrentControlSet\Services\epinject6] 'Start' = '00000001'
- [<HKLM>\System\CurrentControlSet\Services\epinject6] 'ImagePath' = '%ProgramFiles(x86)%\SentryBay\EntryProtect\epinject.sys'
- [<HKLM>\System\CurrentControlSet\Services\epinjectsvc] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\epinjectsvc] 'ImagePath' = '%ProgramFiles(x86)%\SentryBay\EntryProtect\inject.exe'
Создает следующие сервисы
- 'entryprotectdrv' %ProgramFiles(x86)%\SentryBay\EntryProtect\entryprotect.sys
- 'epinject6' %ProgramFiles(x86)%\SentryBay\EntryProtect\epinject.sys
- 'epinjectsvc' %ProgramFiles(x86)%\SentryBay\EntryProtect\inject.exe
Вредоносные функции
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\csrss.exe
следующие пользовательские процессы:
- iexplore.exe
Перехватывает функции
в браузерах
- Процесс iexplore.exe, модуль mshtml.dll
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\tmp759c.exe
- %TEMP%\nsr7a5f.tmp\service.dll
- %ProgramFiles(x86)%\sentrybay\entryprotect\uninstall_.exe
- %WINDIR%\temp\udd8fd1.tmp
- <SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\epinject.cat
- %ProgramFiles(x86)%\sentrybay\entryprotect\inject.exe
- %ProgramFiles(x86)%\sentrybay\entryprotect\epinject.cat.6.2.0.11629.new
- %ProgramFiles(x86)%\sentrybay\entryprotect\epinject.sys.6.2.0.11629.new
- %WINDIR%\temp\udd845b.tmp
- <SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\entryprotect.cat
- %TEMP%\nsr7a5f.tmp\nsexec.dll
- %ProgramFiles(x86)%\sentrybay\entryprotect\entryprotect.cat.6.2.0.11629.new
- %ProgramFiles(x86)%\sentrybay\entryprotect\entryprotect.sys.6.2.0.11629.new
- %ProgramFiles(x86)%\sentrybay\entryprotect\driverinstall.exe.6.2.0.11629.new
- %ProgramFiles(x86)%\sentrybay\entryprotect\epclient64.dll.6.2.0.11629.new
- %ProgramFiles(x86)%\sentrybay\entryprotect\epclient32.dll.6.2.0.11629.new
- %TEMP%\nsr7a5f.tmp\system.dll
- %TEMP%\nsb7a4e.tmp
- %ProgramFiles(x86)%\sentrybay\entryprotect\install.log
- %ProgramFiles(x86)%\sentrybay\entryprotect\uninstall.exe
Присваивает атрибут 'скрытый' для следующих файлов
- <SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\entryprotect.cat
- <SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\epinject.cat
Удаляет следующие файлы
- %WINDIR%\temp\udd845b.tmp
- %WINDIR%\temp\udd8fd1.tmp
- %TEMP%\nsr7a5f.tmp\nsexec.dll
- %TEMP%\nsr7a5f.tmp\service.dll
- %TEMP%\nsr7a5f.tmp\system.dll
- %TEMP%\tmp759c.exe
Перемещает следующие файлы
- %ProgramFiles(x86)%\sentrybay\entryprotect\epclient32.dll.6.2.0.11629.new в %ProgramFiles(x86)%\sentrybay\entryprotect\epclient32.dll
- %ProgramFiles(x86)%\sentrybay\entryprotect\epclient64.dll.6.2.0.11629.new в %ProgramFiles(x86)%\sentrybay\entryprotect\epclient64.dll
- %ProgramFiles(x86)%\sentrybay\entryprotect\driverinstall.exe.6.2.0.11629.new в %ProgramFiles(x86)%\sentrybay\entryprotect\driverinstall.exe
- %ProgramFiles(x86)%\sentrybay\entryprotect\entryprotect.sys.6.2.0.11629.new в %ProgramFiles(x86)%\sentrybay\entryprotect\entryprotect.sys
- %ProgramFiles(x86)%\sentrybay\entryprotect\entryprotect.cat.6.2.0.11629.new в %ProgramFiles(x86)%\sentrybay\entryprotect\entryprotect.cat
- %ProgramFiles(x86)%\sentrybay\entryprotect\epinject.sys.6.2.0.11629.new в %ProgramFiles(x86)%\sentrybay\entryprotect\epinject.sys
- %ProgramFiles(x86)%\sentrybay\entryprotect\epinject.cat.6.2.0.11629.new в %ProgramFiles(x86)%\sentrybay\entryprotect\epinject.cat
Другое
Создает и запускает на исполнение
- '%TEMP%\tmp759c.exe' /installdir="%ProgramFiles(x86)%\SentryBay\EntryProtect"
- '%ProgramFiles(x86)%\sentrybay\entryprotect\driverinstall.exe' install entryprotectdrv "%ProgramFiles(x86)%\SentryBay\EntryProtect\entryprotect.cat" "EntryProtect Driver" "%ProgramFiles(x86)%\SentryBay\EntryProtect\entryprotect.sys"
- '%ProgramFiles(x86)%\sentrybay\entryprotect\inject.exe' install "%ProgramFiles(x86)%\SentryBay\EntryProtect\epinject.sys" "%ProgramFiles(x86)%\SentryBay\EntryProtect\epinject.cat"
- '%ProgramFiles(x86)%\sentrybay\entryprotect\inject.exe' inject "%ProgramFiles(x86)%\SentryBay\EntryProtect\epclient32.dll" "%ProgramFiles(x86)%\SentryBay\EntryProtect\epclient64.dll"
- '%ProgramFiles(x86)%\sentrybay\entryprotect\driverinstall.exe' install entryprotectdrv "%ProgramFiles(x86)%\SentryBay\EntryProtect\entryprotect.cat" "EntryProtect Driver" "%ProgramFiles(x86)%\SentryBay\EntryProtect\entryprotect.sys"' (со скрытым окном)
