Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\services\diskflt] 'Start' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\services\edcv] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\snetcfg.exe' -v -l C:\netsf.inf -c s -i ms_passthru
- '%WINDIR%\TEMP\snetcfg.exe' -v -l C:\netsf.inf -c s -i ms_passthru
- '<SYSTEM32>\wininitc.exe'
Запускает на исполнение:
- '<SYSTEM32>\DrvInst.exe' "4" "0" "%TEMP%\{4656ab6d-390f-1551-e02c-87044dbc9f34}\netsf.inf" "0" "53419318f" "00000598" "WinSta0\Default" "000002B8" "208" "C:\"
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\pnpui.dll,InstallSecurityPromptRunDllW 10 Global\{142c0cf4-9608-0abd-8bae-29754ce95574} Global\{0e4b0e3e-3877-3920-5b98-f5513273ab3e} <DRIVERS>tore\Temp\{05f611bf-fd04-380e-e2cf-fd50efc05d13}\netsf.inf
- '<SYSTEM32>\wermgr.exe' -queuereporting
- '<SYSTEM32>\cmd.exe' /c %TEMP%\\Install.bat
- '<SYSTEM32>\cmd.exe' /c %WINDIR%\TEMP\\Install.bat
- '<SYSTEM32>\DrvInst.exe' "4" "8" "%WINDIR%\TEMP\{4a5b6dc0-ba8c-0759-f63d-a62a67f5014f}\netsf.inf" "0" "53419318f" "00000568" "Service-0x0-3e7$\Default" "000004C0" "208" "C:\"
Изменения в файловой системе:
Создает следующие файлы:
- C:\passthru.sys
- C:\netsf.inf
- %TEMP%\{4656ab6d-390f-1551-e02c-87044dbc9f34}\SET8B6D.tmp
- %WINDIR%\Temp\{4a5b6dc0-ba8c-0759-f63d-a62a67f5014f}\SET8A92.tmp
- %WINDIR%\inf\passthru.sys
- %WINDIR%\inf\netsf.inf
- C:\netsf_m.inf
- <DRIVERS>\passthru.sys
- <DRIVERS>tore\Temp\{0df98f5e-9c64-255b-bfa3-0a1b26eb7304}\SET98C6.tmp
- <DRIVERS>tore\Temp\{0df98f5e-9c64-255b-bfa3-0a1b26eb7304}\SET9868.tmp
- \Device\HarddiskVolume1\Boot\BCD
- \Device\HarddiskVolume1\Boot\BCD.LOG
- %TEMP%\{4656ab6d-390f-1551-e02c-87044dbc9f34}\SET8C86.tmp
- %WINDIR%\Temp\{4a5b6dc0-ba8c-0759-f63d-a62a67f5014f}\SET8CD4.tmp
- <DRIVERS>tore\Temp\{05f611bf-fd04-380e-e2cf-fd50efc05d13}\SET92ED.tmp
- <DRIVERS>tore\Temp\{05f611bf-fd04-380e-e2cf-fd50efc05d13}\SET926F.tmp
- %TEMP%\snetcfg.exe
- %TEMP%\netsf_m.inf
- %TEMP%\passthru.sys
- %TEMP%\install.bat
- <SYSTEM32>\Black.dll
- %TEMP%\netsf.inf
- <SYSTEM32>\wininitc.exe
- <SYSTEM32>\RCX6B21.tmp
- %WINDIR%\Temp\passthru.sys
- %WINDIR%\inf\netsf_m.inf
- <DRIVERS>\diskflt.sys
- %WINDIR%\Temp\netsf.inf
- %WINDIR%\Temp\install.bat
- %WINDIR%\Temp\snetcfg.exe
- %WINDIR%\Temp\netsf_m.inf
Удаляет следующие файлы:
- %WINDIR%\Temp\{4a5b6dc0-ba8c-0759-f63d-a62a67f5014f}\netsf.inf
- %WINDIR%\Temp\{4a5b6dc0-ba8c-0759-f63d-a62a67f5014f}\passthru.sys
- <DRIVERS>tore\Temp\{0df98f5e-9c64-255b-bfa3-0a1b26eb7304}\passthru.sys
- <SYSTEM32>\Black.dll
- <DRIVERS>tore\Temp\{0df98f5e-9c64-255b-bfa3-0a1b26eb7304}\netsf.inf
Перемещает следующие файлы:
- <DRIVERS>tore\Temp\{05f611bf-fd04-380e-e2cf-fd50efc05d13}\SET92ED.tmp в <DRIVERS>tore\Temp\{05f611bf-fd04-380e-e2cf-fd50efc05d13}\netsf.inf
- <DRIVERS>tore\Temp\{05f611bf-fd04-380e-e2cf-fd50efc05d13}\SET926F.tmp в <DRIVERS>tore\Temp\{05f611bf-fd04-380e-e2cf-fd50efc05d13}\passthru.sys
- <DRIVERS>tore\Temp\{0df98f5e-9c64-255b-bfa3-0a1b26eb7304}\SET98C6.tmp в <DRIVERS>tore\Temp\{0df98f5e-9c64-255b-bfa3-0a1b26eb7304}\netsf.inf
- <DRIVERS>tore\Temp\{0df98f5e-9c64-255b-bfa3-0a1b26eb7304}\SET9868.tmp в <DRIVERS>tore\Temp\{0df98f5e-9c64-255b-bfa3-0a1b26eb7304}\passthru.sys
- %TEMP%\{4656ab6d-390f-1551-e02c-87044dbc9f34}\SET8C86.tmp в %TEMP%\{4656ab6d-390f-1551-e02c-87044dbc9f34}\netsf.inf
- %TEMP%\{4656ab6d-390f-1551-e02c-87044dbc9f34}\SET8B6D.tmp в %TEMP%\{4656ab6d-390f-1551-e02c-87044dbc9f34}\passthru.sys
- <SYSTEM32>\RCX6B21.tmp в <SYSTEM32>\Black.dll
- %WINDIR%\Temp\{4a5b6dc0-ba8c-0759-f63d-a62a67f5014f}\SET8CD4.tmp в %WINDIR%\Temp\{4a5b6dc0-ba8c-0759-f63d-a62a67f5014f}\netsf.inf
- %WINDIR%\Temp\{4a5b6dc0-ba8c-0759-f63d-a62a67f5014f}\SET8A92.tmp в %WINDIR%\Temp\{4a5b6dc0-ba8c-0759-f63d-a62a67f5014f}\passthru.sys
Сетевая активность:
Подключается к:
- '19#.#11.145.19':6005
- 'www.11##809.com':7005
- '80##.#gxiaozi.com':8081
UDP:
- DNS ASK dn#.##ftncsi.com
- DNS ASK www.11##809.com
- DNS ASK 80##.#gxiaozi.com
