Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'iTrusUKEY' = '%ProgramFiles(x86)%\iTrus\iTrus.exe /S'
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'ePass3003_std' = '%ProgramFiles(x86)%\EnterSafe\ePass3003\shuttle_certd3003.exe'
- [<HKLM>\Software\Classes\WinAip\Shell\open\command] '' = '"%ProgramFiles(x86)%\DJSoft\AIP\WinAIP.exe" "%1"'
- [<HKLM>\Software\Classes\aip.document.2\shell\open\command] '' = '%ProgramFiles%\DJSoft\AIP\WinAIP.exe "%1"'
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\AutoScsiService] 'ImagePath' = '<SYSTEM32>\rundll32.exe <SYSTEM32>\SHUTTL~2.DLL,eb_service'
Создает следующие сервисы
- 'AutoScsiService' <SYSTEM32>\rundll32.exe <SYSTEM32>\SHUTTL~2.DLL,eb_service
Вредоносные функции
Изменяет следующие настройки браузера Windows Internet Explorer
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1001' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1200' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1405' = '00000000'
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\nsb4a78.tmp\findprocdll.dll
- %APPDATA%\itruschina\keystore.db-journal
- %WINDIR%\syswow64\sqlite3.dll
- %WINDIR%\syswow64\itruscert\npcombrg.dll
- %WINDIR%\syswow64\itruscert\cspshell.sig
- %WINDIR%\syswow64\itruscert\cspshell.dll
- %WINDIR%\syswow64\itruscert\cspimp_sm.dll
- %WINDIR%\syswow64\itruscert\itrusenroll.dll
- %WINDIR%\syswow64\itruscert\pta.dll
- %WINDIR%\syswow64\itruscert\itrusukeyadmin.dll
- %APPDATA%\itruschina\keystore.db
- %TEMP%\nsm781d.tmp
- %ProgramFiles(x86)%\itrus\epass3003std\uninst.exe
- %TEMP%\nsg7408.tmp\system.dll
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\entersafe\epass3003\卸载epass3003.lnk
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\entersafe\epass3003\epass3003配置工具.lnk
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\entersafe\epass3003\epass3003管理工具.lnk
- %WINDIR%\syswow64\shuttlecsp11_3003.dll
- %WINDIR%\syswow64\shuttlecsp11_3003_s.dll
- %WINDIR%\syswow64\shuttlecsp11_3003.sig
- <SYSTEM32>\shuttlecsp11_3003.dll
- %ProgramFiles(x86)%\itrus\ðþ¸´°ü\epass3003std-1.0.11.301.exe
- %TEMP%\nsg7b58.tmp\system.dll
- %ProgramFiles(x86)%\itrus\ðþ¸´°ü\itruspta-1.0.14.1212.exe
- %ProgramFiles(x86)%\itrus\itruspta\uninst.exe
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\µç×óç©õâïµГВі\ð¶ôø.lnk
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\µç×óç©õâïµГВі\winaip.lnk
- C:\users\public\desktop\winaip.lnk
- <SYSTEM32>\spool\drivers\x64\3\new\hwprnui.dll
- <SYSTEM32>\spool\drivers\x64\3\new\hwprint.dll
- <SYSTEM32>\spool\drivers\x64\hwprnui.dll
- <SYSTEM32>\spool\drivers\x64\hwprint.dll
- <SYSTEM32>\spool\drivers\x64\3\hwprint.pcd
- <SYSTEM32>\spool\drivers\x64\hwprint.pcd
- %WINDIR%\hwconvert.exe
- %WINDIR%\winaip.exe
- %WINDIR%\npffax.dll
- %ProgramFiles(x86)%\djsoft\aip\winaip.exe
- %WINDIR%\syswow64\hwpostil.ocx
- %TEMP%\nsb87b6.tmp\system.dll
- %WINDIR%\syswow64\gzmetroca\bbgplugins\itrusca-3.6.0.6.exe
- %WINDIR%\syswow64\gzmetroca\bbgplugins\makeseal.ocx
- %WINDIR%\syswow64\gzmetroca\bbgplugins\topcertkitwinclient-0.0.0.20.exe
- %WINDIR%\syswow64\gzmetroca\bbgplugins\licregclient.ocx
- %WINDIR%\syswow64\gzmetroca\bbgplugins\aip_setup.exe
- %TEMP%\nsb7ee0.tmp
- <SYSTEM32>\shuttlecsp11_3003_s.dll
- %ProgramFiles(x86)%\djsoft\aip\uninstall.exe
- <SYSTEM32>\shuttlecsp11_3003.sig
- %ProgramFiles(x86)%\entersafe\epass3003\lang\esmgr_1033.lng
- %ProgramFiles(x86)%\itrus\uninstall-itrusukey.exe
- <SYSTEM32>\itrusui.dll
- <SYSTEM32>\itruscsputil.dll
- %WINDIR%\syswow64\itrusui.dll
- %WINDIR%\syswow64\itruscsputil.dll
- %ProgramFiles(x86)%\itrus\itrusbrowser.dll
- %ProgramFiles(x86)%\itrus\itrus.exe
- %TEMP%\nsr5311.tmp\findprocdll.dll
- %TEMP%\nsr5311.tmp\system.dll
- %TEMP%\a12345.dll
- %TEMP%\nsr5311.tmp\userinfo.dll
- %TEMP%\itrusupdate.ini
- %TEMP%\bbgcertchain.exe
- %TEMP%\bbgplugins.exe
- %TEMP%\itruspta.exe
- %TEMP%\epass3003std.exe
- %TEMP%\bbgui.exe
- %TEMP%\iðå-setup.exe
- %TEMP%\nsb4a78.tmp\system.dll
- %TEMP%\nsb4a78.tmp\userinfo.dll
- %TEMP%\nsr5310.tmp
- %TEMP%\nsg6039.tmp
- %ProgramFiles(x86)%\itrus\bbgui\bbgui.cdat
- %ProgramFiles(x86)%\itrus\bbgui\uninst.exe
- %ProgramFiles(x86)%\entersafe\epass3003\lang\esmgr_1028.lng
- %ProgramFiles(x86)%\entersafe\epass3003\lang\escfg_2052.lng
- %ProgramFiles(x86)%\entersafe\epass3003\lang\escfg_1033.lng
- %ProgramFiles(x86)%\entersafe\epass3003\lang\escfg_1028.lng
- %ProgramFiles(x86)%\entersafe\epass3003\lang\escsp_2052.lng
- %ProgramFiles(x86)%\entersafe\epass3003\lang\escsp_1033.lng
- %ProgramFiles(x86)%\entersafe\epass3003\lang\escsp_1028.lng
- %ProgramFiles(x86)%\entersafe\epass3003\lang\escertd_2052.lng
- %ProgramFiles(x86)%\entersafe\epass3003\lang\escertd_1033.lng
- %ProgramFiles(x86)%\entersafe\epass3003\lang\escertd_1028.lng
- %ProgramFiles(x86)%\entersafe\epass3003\epass3003.ini
- %ProgramFiles(x86)%\entersafe\epass3003\configtool_3003.exe
- %ProgramFiles(x86)%\entersafe\epass3003\epassmanager_3003.exe
- %ProgramFiles(x86)%\entersafe\epass3003\shuttle_certd3003.exe
- %ProgramFiles(x86)%\entersafe\epass3003\uninst.exe
- %TEMP%\nsm670e.tmp\userinfo.dll
- %TEMP%\nsm670e.tmp\system.dll
- %TEMP%\nsw66fd.tmp
- %ProgramFiles(x86)%\itrus\epass3003std\epass3003-simpchinese.exe
- %TEMP%\nsw64db.tmp
- %TEMP%\nsg625c.tmp\system.dll
- %ProgramFiles(x86)%\entersafe\epass3003\lang\esmgr_2052.lng
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\winaip.lnk
Удаляет следующие файлы
- %TEMP%\a12345.dll
- %TEMP%\nsg625c.tmp\system.dll
- %TEMP%\nsm670e.tmp\system.dll
- %TEMP%\nsm670e.tmp\userinfo.dll
- %TEMP%\nsg7408.tmp\system.dll
- %APPDATA%\itruschina\keystore.db-journal
- %TEMP%\nsg7b58.tmp\system.dll
Перемещает следующие файлы
- <SYSTEM32>\spool\drivers\x64\3\new\hwprint.dll в <SYSTEM32>\spool\drivers\x64\3\hwprint.dll
- <SYSTEM32>\spool\drivers\x64\3\new\hwprnui.dll в <SYSTEM32>\spool\drivers\x64\3\hwprnui.dll
Подменяет следующие файлы
- %APPDATA%\itruschina\keystore.db-journal
Другое
Добавляет корневой сертификат
Ищет следующие окна
- ClassName: '' WindowName: 'CAВ№ГњГЂГ'
- ClassName: '#32770' WindowName: ''
- ClassName: '' WindowName: 'ÌìÍþ¶Ü-±±¾©ÌìÍþµç×ÓÉÌÎñ·þÎñÓÐÏÞ¹«Ë¾'
Создает и запускает на исполнение
- '%TEMP%\iðå-setup.exe'
- '%TEMP%\bbgui.exe' /S
- '%TEMP%\epass3003std.exe' /S
- '%ProgramFiles(x86)%\itrus\epass3003std\epass3003-simpchinese.exe' /S
- '%ProgramFiles(x86)%\entersafe\epass3003\shuttle_certd3003.exe'
- '%ProgramFiles(x86)%\entersafe\epass3003\shuttle_certd3003.exe' -t
- '%TEMP%\itruspta.exe' /S
- '%TEMP%\bbgplugins.exe' /S
- '%WINDIR%\syswow64\gzmetroca\bbgplugins\aip_setup.exe' /SP- /VERYSILENT /NORESTART
- '%WINDIR%\winaip.exe' -regaip
- '%ProgramFiles(x86)%\djsoft\aip\winaip.exe' -regaip
- '%WINDIR%\winaip.exe' -regaip' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\rundll32.exe' <SYSTEM32>\SHUTTL~2.DLL,eb_service
