Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Classes\MSProgramGroup\Shell\Open\Command] '' = '<SYSTEM32>\grpconv.exe %1'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'GrpConv' = 'grpconv -o'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'MoveSearch' = '%PROGRAM_FILES%\HuaCi\huaci\zsearch.exe'
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\»®ґКЛСЛч.lnk
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\abhcop] 'Start' = '00000001'
- [<HKLM>\SYSTEM\ControlSet001\Services\hcalway] 'Start' = '00000001'
Вредоносные функции:
Создает и запускает на исполнение:
- %PROGRAM_FILES%\HuaCi\huaci\zsup.exe check
- %PROGRAM_FILES%\HuaCi\huaci\zsearch.exe aa
- %PROGRAM_FILES%\office\office\setup_8le.exe
Запускает на исполнение:
- <SYSTEM32>\runonce.exe -r
- <SYSTEM32>\grpconv.exe -o
- <SYSTEM32>\regsvr32.exe "%PROGRAM_FILES%\HuaCi\huaci\searchm.dll" -s
- <SYSTEM32>\rundll32.exe setupapi,InstallHinfSection DefaultInstall 132 .\hcalway.inf
Перехватывает следующие функции в SSDT (System Service Descriptor Table):
- NtSetValueKey, драйвер-обработчик: abhcop.sys
- NtDeleteValueKey, драйвер-обработчик: abhcop.sys
- NtDeleteKey, драйвер-обработчик: abhcop.sys
Изменения в файловой системе:
Создает следующие файлы:
- %PROGRAM_FILES%\HuaCi\huaci\SearchM.dll.zgx
- %PROGRAM_FILES%\HuaCi\huaci\sysupdate.ini.tmp
- %PROGRAM_FILES%\HuaCi\huaci\sysupdate.ini
- %PROGRAM_FILES%\HuaCi\huaci\SearchM.dll.zgx.tmp
- %PROGRAM_FILES%\HuaCi\huaci\Mouse1.dll.zgx
- %PROGRAM_FILES%\HuaCi\huaci\mUin.exe.tmp
- %PROGRAM_FILES%\HuaCi\huaci\mUin.exe
- %PROGRAM_FILES%\HuaCi\huaci\_uninstall
- %HOMEPATH%\Start Menu\Programs\»®ґКЛСЛч.lnk
- %PROGRAM_FILES%\HuaCi\update\sysadInfo.ini
- %PROGRAM_FILES%\HuaCi\huaci\zsup.exe
- %PROGRAM_FILES%\HuaCi\huaci\zsearch.exe.tmp
- %PROGRAM_FILES%\HuaCi\huaci\zsearch.exe
- %PROGRAM_FILES%\HuaCi\huaci\zsup.exe.tmp
- %PROGRAM_FILES%\HuaCi\huaci\Mouse1.dll.zgx.tmp
- %PROGRAM_FILES%\office\office\caishow_8le.exe
- %PROGRAM_FILES%\HuaCi\huaci\setup.tmp
- %PROGRAM_FILES%\HuaCi\huaci\abhcop.sys.tmp
- %PROGRAM_FILES%\office\office\setup_8le.exe
- %PROGRAM_FILES%\office\office\101301.exe
- %PROGRAM_FILES%\office\office\boba_super_update-1.0.0.1_Ete_012.exe
- %PROGRAM_FILES%\office\office\newweb10281.EXE
- %PROGRAM_FILES%\HuaCi\huaci\hcalway.inf
- %PROGRAM_FILES%\HuaCi\huaci\hcalway.sys.tmp
- %PROGRAM_FILES%\HuaCi\huaci\hcalway.sys
- %PROGRAM_FILES%\HuaCi\huaci\hcalway.inf.tmp
- %PROGRAM_FILES%\HuaCi\huaci\abhcop.sys
- %PROGRAM_FILES%\HuaCi\huaci\allverx.dat.tmp
- %PROGRAM_FILES%\HuaCi\huaci\allverx.dat
Удаляет следующие файлы:
- %PROGRAM_FILES%\HuaCi\huaci\zsearch.exe.tmp
- %PROGRAM_FILES%\HuaCi\huaci\sysupdate.ini.tmp
- %PROGRAM_FILES%\HuaCi\huaci\SearchM.dll.zgx.tmp
- %PROGRAM_FILES%\HuaCi\huaci\hcalway.inf
- %PROGRAM_FILES%\HuaCi\huaci\setup.tmp
- %PROGRAM_FILES%\HuaCi\huaci\zsup.exe.tmp
- %PROGRAM_FILES%\HuaCi\huaci\hcalway.inf.tmp
- %PROGRAM_FILES%\HuaCi\huaci\allverx.dat.tmp
- %PROGRAM_FILES%\HuaCi\huaci\abhcop.sys.tmp
- %PROGRAM_FILES%\HuaCi\huaci\mUin.exe.tmp
- %PROGRAM_FILES%\HuaCi\huaci\Mouse1.dll.zgx.tmp
- %PROGRAM_FILES%\HuaCi\huaci\hcalway.sys.tmp
Перемещает следующие файлы:
- %PROGRAM_FILES%\HuaCi\huaci\hcalway.sys в <DRIVERS>\hcalway.sys
- %PROGRAM_FILES%\HuaCi\huaci\abhcop.sys в <DRIVERS>\abhcop.sys
- %PROGRAM_FILES%\HuaCi\huaci\Mouse1.dll.zgx в %PROGRAM_FILES%\HuaCi\huaci\Mouse1.dll
- %PROGRAM_FILES%\HuaCi\huaci\SearchM.dll.zgx в %PROGRAM_FILES%\HuaCi\huaci\SearchM.dll
Сетевая активность:
Подключается к:
- 'do#####d.zhongsou.com':80
- 'localhost':1035
TCP:
Запросы HTTP GET:
- do#####d.zhongsou.com/cdsearch/update.asp?ty##############
UDP:
- DNS ASK do#####d.zhongsou.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
