Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'DSEClient1Tray' = '"%WINDIR%\SysWOW64\5097\DSEClient.exe" HIDE'
Создает или изменяет следующие файлы
- %WINDIR%\win.ini
Устанавливает следующие настройки сервисов
- [<HKLM>\SYSTEM\CurrentControlSet\Services\USBSTFI] 'ImagePath' = 'system32\drivers\USBSTFI.SYS'
- [<HKLM>\SYSTEM\CurrentControlSet\Services\Windows crypt services] 'ImagePath' = '%WINDIR%\SysWOW64\5097\dseservice.exe'
- [<HKLM>\SYSTEM\CurrentControlSet\Services\Windows crypt services] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\DSESafeCtrlDrv] 'Start' = '00000001'
- [<HKLM>\System\CurrentControlSet\Services\DSESafeCtrlDrv] 'ImagePath' = '<DRIVERS>\DSESafeCtrlDrv.sys'
- [<HKLM>\System\CurrentControlSet\Services\effsoftdse] 'Start' = '00000001'
- [<HKLM>\System\CurrentControlSet\Services\effsoftdse] 'ImagePath' = '%WINDIR%\SysWOW64\5097\DseDriver64.sys'
Создает следующие сервисы
- 'Windows crypt services' %WINDIR%\SysWOW64\5097\dseservice.exe
- 'DSESafeCtrlDrv' <DRIVERS>\DSESafeCtrlDrv.sys
- 'effsoftdse' %WINDIR%\SysWOW64\5097\DseDriver64.sys
Вредоносные функции
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\taskhost.exe
следующие пользовательские процессы:
- iexplore.exe
Перехватывает функции
в браузерах
- Процесс iexplore.exe, модуль urlmon.dll
- Процесс iexplore.exe, модуль advapi32.dll
- Процесс iexplore.exe, модуль mshtml.dll
- Процесс firefox.exe, модуль advapi32.dll
Регистрирует фильтр файловой системы
- [<HKLM>\System\CurrentControlSet\Services\DSESafeCtrlDrv] 'Group' = 'FSFilter Top'
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\dseclientinstall\origsetup.exe
- %WINDIR%\syswow64\5097\7z.dll
- %WINDIR%\syswow64\5097\dlp7zalog.exe
- %WINDIR%\syswow64\5097\dlp7za.exe
- %WINDIR%\syswow64\5097\dlpshelllauncher.exe
- %WINDIR%\syswow64\5097\log.dll.new
- %WINDIR%\syswow64\5097\common.dll.new
- %WINDIR%\syswow64\5097\filepacker.exe
- %WINDIR%\syswow64\5097\dseservice64.exe
- %WINDIR%\syswow64\5097\listdlls64.exe
- %WINDIR%\syswow64\5097\hwcontrl64.dll
- %WINDIR%\syswow64\5097\dlpoutsetupreadme.txt
- %WINDIR%\syswow64\5097\dlpoutlitereadme.txt
- %WINDIR%\syswow64\5097\uvnserver.exe.new
- %WINDIR%\syswow64\5097\mgrdll.dll.new
- %WINDIR%\syswow64\5097\clientcaprundll.dll.new
- %WINDIR%\syswow64\5097\capturelib.dll.new
- %WINDIR%\syswow64\5097\swscale-2.dll
- %WINDIR%\syswow64\5097\swresample-0.dll
- %WINDIR%\syswow64\5097\avutil-52.dll
- %WINDIR%\syswow64\5097\filesystemexshell.dll.new
- %WINDIR%\syswow64\5097\filesystemexshell64.dll.new
- %WINDIR%\syswow64\5097\dsefilesystemext.dll.new
- %WINDIR%\syswow64\5097\dsefilesystemext64.dll.new
- %WINDIR%\temp\udd48c4.tmp
- %WINDIR%\syswow64\5097\log\client.log
- %TEMP%\nsbd827.tmp\callansiplugin.dll
- %WINDIR%\syswow64\settings.ini
- %WINDIR%\temp\udd11cb.tmp
- %WINDIR%\temp\udd11eb.tmp
- %TEMP%\nsbd827.tmp\nsexec.dll
- %WINDIR%\syswow64\5097\dseuninstall.exe
- %WINDIR%\syswow64\5097\conf.ini
- <DRIVERS>\cdromf.sys.new
- <DRIVERS>\dsesafectrldrv.sys.new
- <DRIVERS>\usbstfi.sys.new
- %WINDIR%\syswow64\msvcr90.dll
- %WINDIR%\syswow64\msvcp90.dll
- %WINDIR%\syswow64\5097\res\encryptfile_2.png
- %WINDIR%\syswow64\5097\res\shell1.png
- %WINDIR%\syswow64\5097\res\clientui login page.bmp
- %WINDIR%\syswow64\5097\enabledmp.reg
- %WINDIR%\syswow64\5097\dsedriver32.sys
- %WINDIR%\syswow64\5097\dsedriver64.sys
- %WINDIR%\syswow64\autheninfoset.cfg-journal
- %WINDIR%\syswow64\5097\avcodec-55.dll
- %WINDIR%\syswow64\5097\installclient.bat
- %WINDIR%\syswow64\5097\litezip.dll
- %WINDIR%\syswow64\5097\apporservicescfg.ini
- %WINDIR%\syswow64\5097\startupapporservice.exe
- %WINDIR%\syswow64\5097\dseofps.exe.new
- %WINDIR%\syswow64\5097\dseimagephash.dll.new
- %WINDIR%\syswow64\5097\sqlite3.dll.new
- %WINDIR%\syswow64\5097\screencapture.dll.new
- %WINDIR%\syswow64\5097\dbrequest64.dll.new
- %WINDIR%\syswow64\5097\dbrequest.dll.new
- %WINDIR%\syswow64\5097\filtercheck64.exe.new
- %WINDIR%\syswow64\5097\filtercheck.exe.new
- %WINDIR%\syswow64\5097\dseservice.exe.new
- %WINDIR%\syswow64\5097\clientnetcfg.ini
- %TEMP%\nsbd827.tmp\clientinstalloption.ini
- %TEMP%\nsbd827.tmp\simplesc.dll
- %TEMP%\nsbd827.tmp\simplefc.dll
- %TEMP%\nsbd827.tmp\system.dll
- %TEMP%\nsbd826.tmp
- %TEMP%\dseclientinstall\silentcfg.ini
- %TEMP%\dseclientinstall\clientnetcfg.ini
- %WINDIR%\syswow64\5097\windowclose.ini
- %WINDIR%\syswow64\5097\corp.key
- %WINDIR%\syswow64\5097\corp.crt
- %WINDIR%\syswow64\5097\cakey.key
- %WINDIR%\syswow64\5097\effsoftcrashrpt.dll
- %WINDIR%\syswow64\5097\printwatermark64.dll.new
- %WINDIR%\syswow64\5097\printwatermark.dll.new
- %WINDIR%\syswow64\5097\printermirr64.dll.new
- %WINDIR%\syswow64\5097\printermirr.dll.new
- %WINDIR%\syswow64\5097\service.dll.new
- %WINDIR%\syswow64\5097\drvinterface64.dll.new
- %WINDIR%\syswow64\5097\drvinterface.dll.new
- %WINDIR%\syswow64\5097\dseclient.exe.new
- %WINDIR%\syswow64\5097\langxmlsclient\sample chinese.oem.xml
- %WINDIR%\syswow64\5097\langxmlsclient\tradition chinese.oem.xml
- %WINDIR%\syswow64\5097\langxmlsclient\english.oem.xml
- %WINDIR%\syswow64\5097\langxmlsclient\tradition chinese.lng.xml
- %WINDIR%\syswow64\5097\langxmlsclient\sample chinese.lng.xml
- %WINDIR%\syswow64\5097\langxmlsclient\english.lng.xml
- %WINDIR%\syswow64\5097\dseoutlookde64.dll.new
- %WINDIR%\syswow64\5097\dseoutlookde32.dll.new
- %WINDIR%\syswow64\5097\dseoutlooken64.dll.new
- %WINDIR%\syswow64\5097\dseoutlooken32.dll.new
- %WINDIR%\syswow64\5097\ca.crt
- %WINDIR%\syswow64\5097\liteunzip.dll
- %WINDIR%\syswow64\autheninfoset.cfg
Удаляет следующие файлы
- %WINDIR%\temp\udd11eb.tmp
- %WINDIR%\temp\udd11cb.tmp
- %TEMP%\nsbd827.tmp\callansiplugin.dll
- %TEMP%\nsbd827.tmp\clientinstalloption.ini
- %TEMP%\nsbd827.tmp\nsexec.dll
- %TEMP%\nsbd827.tmp\simplefc.dll
- %TEMP%\nsbd827.tmp\simplesc.dll
- %TEMP%\nsbd827.tmp\system.dll
- %WINDIR%\temp\udd48c4.tmp
- %WINDIR%\syswow64\autheninfoset.cfg-journal
Перемещает следующие файлы
- %WINDIR%\syswow64\5097\dseservice.exe.new в %WINDIR%\syswow64\5097\dseservice.exe
- %WINDIR%\syswow64\5097\printermirr64.dll.new в %WINDIR%\syswow64\5097\printermirr64.dll
- %WINDIR%\syswow64\5097\printwatermark.dll.new в %WINDIR%\syswow64\5097\printwatermark.dll
- %WINDIR%\syswow64\5097\printwatermark64.dll.new в %WINDIR%\syswow64\5097\printwatermark64.dll
- %WINDIR%\syswow64\5097\capturelib.dll.new в %WINDIR%\syswow64\5097\capturelib.dll
- %WINDIR%\syswow64\5097\clientcaprundll.dll.new в %WINDIR%\syswow64\5097\clientcaprundll.dll
- %WINDIR%\syswow64\5097\mgrdll.dll.new в %WINDIR%\syswow64\5097\mgrdll.dll
- %WINDIR%\syswow64\5097\common.dll.new в %WINDIR%\syswow64\5097\common.dll
- %WINDIR%\syswow64\5097\dseofps.exe.new в %WINDIR%\syswow64\5097\dseofps.exe
- %WINDIR%\syswow64\5097\log.dll.new в %WINDIR%\syswow64\5097\log.dll
- %WINDIR%\syswow64\5097\filesystemexshell.dll.new в %WINDIR%\syswow64\5097\filesystemexshell.dll
- %WINDIR%\syswow64\5097\filesystemexshell64.dll.new в %WINDIR%\syswow64\5097\filesystemexshell64.dll
- %WINDIR%\syswow64\5097\dsefilesystemext.dll.new в %WINDIR%\syswow64\5097\dsefilesystemext.dll
- %WINDIR%\syswow64\5097\dsefilesystemext64.dll.new в %WINDIR%\syswow64\5097\dsefilesystemext64.dll
- <DRIVERS>\usbstfi.sys.new в <DRIVERS>\usbstfi.sys
- %WINDIR%\syswow64\5097\printermirr.dll.new в %WINDIR%\syswow64\5097\printermirr.dll
- %WINDIR%\syswow64\5097\service.dll.new в %WINDIR%\syswow64\5097\service.dll
- %WINDIR%\syswow64\5097\drvinterface64.dll.new в %WINDIR%\syswow64\5097\drvinterface64.dll
- %WINDIR%\syswow64\5097\drvinterface.dll.new в %WINDIR%\syswow64\5097\drvinterface.dll
- %WINDIR%\syswow64\5097\dseclient.exe.new в %WINDIR%\syswow64\5097\dseclient.exe
- %WINDIR%\syswow64\5097\dseoutlookde64.dll.new в %WINDIR%\syswow64\5097\dseoutlookde64.dll
- %WINDIR%\syswow64\5097\dseoutlookde32.dll.new в %WINDIR%\syswow64\5097\dseoutlookde32.dll
- %WINDIR%\syswow64\5097\dseoutlooken64.dll.new в %WINDIR%\syswow64\5097\dseoutlooken64.dll
- %WINDIR%\syswow64\5097\dseoutlooken32.dll.new в %WINDIR%\syswow64\5097\dseoutlooken32.dll
- %WINDIR%\syswow64\5097\uvnserver.exe.new в %WINDIR%\syswow64\5097\uvnserver.exe
- %WINDIR%\syswow64\5097\dseimagephash.dll.new в %WINDIR%\syswow64\5097\dseimagephash.dll
- %WINDIR%\syswow64\5097\sqlite3.dll.new в %WINDIR%\syswow64\5097\sqlite3.dll
- %WINDIR%\syswow64\5097\screencapture.dll.new в %WINDIR%\syswow64\5097\screencapture.dll
- %WINDIR%\syswow64\5097\dbrequest64.dll.new в %WINDIR%\syswow64\5097\dbrequest64.dll
- %WINDIR%\syswow64\5097\dbrequest.dll.new в %WINDIR%\syswow64\5097\dbrequest.dll
- %WINDIR%\syswow64\5097\filtercheck64.exe.new в %WINDIR%\syswow64\5097\filtercheck64.exe
- %WINDIR%\syswow64\5097\filtercheck.exe.new в %WINDIR%\syswow64\5097\filtercheck.exe
- <DRIVERS>\cdromf.sys.new в <DRIVERS>\cdromf.sys
- <DRIVERS>\dsesafectrldrv.sys.new в <DRIVERS>\dsesafectrldrv.sys
Подменяет следующие файлы
- %WINDIR%\syswow64\autheninfoset.cfg-journal
Сетевая активность
Подключается к
- 'localhost':5558
Другое
Ищет следующие окна
- ClassName: 'RegEdit_RegEdit' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\dseclientinstall\origsetup.exe' /S
- '%WINDIR%\syswow64\5097\dseservice.exe' --repairReg
- '%WINDIR%\syswow64\5097\dseservice.exe' --install
- '%WINDIR%\syswow64\5097\dseservice.exe'
- '%WINDIR%\syswow64\5097\dseservice64.exe' Inject -i -ns ""
- '%WINDIR%\syswow64\regedit.exe' /s "%WINDIR%\SysWOW64\5097\EnableDmp.reg"' (со скрытым окном)
- '%WINDIR%\syswow64\5097\dseservice.exe' --repairReg' (со скрытым окном)
- '%WINDIR%\syswow64\regsvr32.exe' /s FileSystemExShell.dll' (со скрытым окном)
- '%WINDIR%\syswow64\5097\dseservice.exe' --install' (со скрытым окном)
- '<SYSTEM32>\net.exe' start "Windows crypt services"' (со скрытым окном)
- '%WINDIR%\syswow64\5097\dseservice64.exe' Inject -i -ns ""' (со скрытым окном)
- '%WINDIR%\syswow64\regsvr32.exe' /s /u %WINDIR%\SysWOW64\5097\\DSEOutlookDe64.dll' (со скрытым окном)
- '%WINDIR%\syswow64\regsvr32.exe' /s /u %WINDIR%\SysWOW64\5097\DSEOutlookDe32.dll' (со скрытым окном)
- '%WINDIR%\syswow64\regsvr32.exe' /s /u %WINDIR%\SysWOW64\5097\DSEOutlookEn32.dll' (со скрытым окном)
- '%WINDIR%\syswow64\regsvr32.exe' /s /u %WINDIR%\SysWOW64\5097\DSEOutlookEn64.dll' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\regedit.exe' /s "%WINDIR%\SysWOW64\5097\EnableDmp.reg"
- '<SYSTEM32>\regsvr32.exe' /s /u %WINDIR%\SysWOW64\5097\\DSEOutlookDe64.dll
- '%WINDIR%\syswow64\regsvr32.exe' /s /u %WINDIR%\SysWOW64\5097\DSEOutlookEn32.dll
- '%WINDIR%\syswow64\regsvr32.exe' /s /u %WINDIR%\SysWOW64\5097\DSEOutlookDe32.dll
- '%WINDIR%\syswow64\regsvr32.exe' /s /u %WINDIR%\SysWOW64\5097\\DSEOutlookDe64.dll
- '<SYSTEM32>\net1.exe' start "Windows crypt services"
- '<SYSTEM32>\net.exe' start "Windows crypt services"
- '%WINDIR%\syswow64\regsvr32.exe' /s "%WINDIR%\SysWOW64\5097\DSEOutlookEn32.dll"
- '<SYSTEM32>\regsvr32.exe' /s "%WINDIR%\SysWOW64\5097\DSEOutlookEn64.dll"
- '%WINDIR%\syswow64\regsvr32.exe' /s "%WINDIR%\SysWOW64\5097\DSEOutlookEn64.dll"
- '%WINDIR%\syswow64\regsvr32.exe' /s "%WINDIR%\SysWOW64\5097\DSEOutlookDe32.dll"
- '<SYSTEM32>\regsvr32.exe' /s "%WINDIR%\SysWOW64\5097\DSEOutlookDe64.dll"
- '%WINDIR%\syswow64\regsvr32.exe' /s "%WINDIR%\SysWOW64\5097\DSEOutlookDe64.dll"
- '%WINDIR%\syswow64\regsvr32.exe' /s "%WINDIR%\SysWOW64\5097\FileSystemExShell.dll"
- '<SYSTEM32>\regsvr32.exe' /s "%WINDIR%\SysWOW64\5097\FileSystemExShell64.dll"
- '%WINDIR%\syswow64\regsvr32.exe' /s "%WINDIR%\SysWOW64\5097\FileSystemExShell64.dll"
- '%WINDIR%\syswow64\regsvr32.exe' /s FileSystemExShell.dll
- '%WINDIR%\syswow64\sc.exe' create Windows crypt servicesadd:0 binPath= %WINDIR%\SysWOW64\5097\DSEService.exe DisplayName= 'WindowsCryptServicesadd:1'
- '%WINDIR%\syswow64\regsvr32.exe' /s /u %WINDIR%\SysWOW64\5097\DSEOutlookEn64.dll
- '<SYSTEM32>\regsvr32.exe' /s /u %WINDIR%\SysWOW64\5097\DSEOutlookEn64.dll
