Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Network' = '<SYSTEM32>\ime\network.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\run] 'llajyn_df' = '%WINDIR%\system\lljyn090509.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'InterMoni' = '%WINDIR%\intermoni\InMonitor.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\logondll] 'DllName' = 'fly1321.dll'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\logondll] 'Startup' = 'EventStartup'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\oscsio] 'Start' = '00000002'
- [<HKLM>\SYSTEM\ControlSet001\Services\AeLfService] 'Start' = '00000002'
- [<HKLM>\SYSTEM\ControlSet001\Services\niakuvyl] 'Start' = '00000000'
Подменяет следующие исполняемые системные файлы:
- <DRIVERS>\ipfltdrv.sys файлом <DRIVERS>\ipfltdrv.sys.txt
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\kzd2009.exe'
- '%TEMP%\Messenger\setup.exe' llly
- '%TEMP%\InternetMonitor3002.exe'
- '<SYSTEM32>\mswzc.exe'
- '%WINDIR%\niakuvyl.exe'
- '<SYSTEM32>\mswzc.exe' /service
- '%TEMP%\lqbz828.exe'
- '%TEMP%\svchosts.exe'
- '%TEMP%\small666.exe'
- '%TEMP%\spools.exe'
- '%TEMP%\selvice.exe'
- '%TEMP%\llly666.exe'
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c %TEMP%\dsetup.bat
- '<SYSTEM32>\sc.exe' create oscsio type= kernel start= auto binpath= <DRIVERS>\oscsio.sys
- '<SYSTEM32>\net1.exe' start AeLfService
- '<SYSTEM32>\cmd.exe' /c ""c:\dfDelmlljy.bat" "
- '<SYSTEM32>\ping.exe' 127.0.0.1
- '<SYSTEM32>\sc.exe' stop ipfilterdriver
- '<SYSTEM32>\regsvr32.exe' /s <SYSTEM32>\flyplug.dll
- '<SYSTEM32>\sc.exe' start ipfilterdriver
- '<SYSTEM32>\ntsd.exe' -c q -p 1440
- '<SYSTEM32>\cmd.exe' /c %TEMP%\tempDel.bat
Внедряет код в
следующие системные процессы:
- %WINDIR%\Explorer.EXE
следующие пользовательские процессы:
- 360tray.exe
Перехватывает следующие функции в SSDT (System Service Descriptor Table):
- NtQueryDirectoryFile, драйвер-обработчик: fywsobtb.sys
- NtQuerySystemInformation, драйвер-обработчик: fywsobtb.sys
- NtEnumerateKey, драйвер-обработчик: fywsobtb.sys
- NtEnumerateValueKey, драйвер-обработчик: fywsobtb.sys
Скрывает следующие процессы:
- %WINDIR%\niakuvyl.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\tempDel.bat
- <SYSTEM32>\mssrcid.ini
- %WINDIR%\system\lljyn090509.exe
- %WINDIR%\niakuvyl.exe
- <DRIVERS>\fywsobtb.sys
- <SYSTEM32>\fly1321.dll
- <DRIVERS>\oscsio.log
- %WINDIR%\intermoni\InMonitor.exe
- <SYSTEM32>\dllcache\fly1321.dll
- %WINDIR%\msapps\vv2294.nfo
- <SYSTEM32>\Web.ini
- C:\dfDelmlljy.bat
- %WINDIR%\system\llbjyn32bb.dll
- %TEMP%\dsetup.bat
- %WINDIR%\Web\jn7623.htt
- %ALLUSERSPROFILE%\lljyndf16.ini
- %WINDIR%\system\sa5270.drv
- %WINDIR%\msapps\wjc0778
- %TEMP%\Messenger\twain_32.dll
- %TEMP%\spools.exe
- %TEMP%\selvice.exe
- %TEMP%\kzd2009.exe
- %TEMP%\InternetMonitor3002.exe
- %TEMP%\llly666.exe
- %TEMP%\small666.exe
- %TEMP%\nso2.tmp
- %TEMP%\lqbz828.exe
- %TEMP%\svchosts.exe
- %TEMP%\Messenger\setup.exe
- %TEMP%\Messenger\nvsys.ini
- %TEMP%\Messenger\sysvc.dat
- %TEMP%\Messenger\sysmain.dat
- %TEMP%\3.tmp
- <SYSTEM32>\flymain.dll
- %TEMP%\ColorPix.exe
- %WINDIR%\inf\pux8979.PNF
- <SYSTEM32>\flyplug.dll
Удаляет следующие файлы:
- %TEMP%\3.tmp
- %TEMP%\lqbz828.exe
- %TEMP%\spools.exe
- <DRIVERS>\ipfltdrv.sys
- %TEMP%\small666.exe
- %TEMP%\kzd2009.exe
Перемещает следующие файлы:
- %TEMP%\Messenger\nvsys.ini в <SYSTEM32>\oieby.ini
- %TEMP%\Messenger\sysmain.dat в <SYSTEM32>\nhdax.dll
- <DRIVERS>\oscsio.log в <DRIVERS>\oscsio.sys
- %TEMP%\Messenger\sysvc.dat в <SYSTEM32>\mswzc.exe
Сетевая активность:
Подключается к:
- 'www.66##.8800.org':80
- 'localhost':1036
TCP:
Запросы HTTP GET:
- www.66##.8800.orghttp://www.6666.8800.org/Start.htm?Ar#####################################################################################################
UDP:
- DNS ASK www.k-#c.cn
- DNS ASK xy#.###2009new1.com.cn
- DNS ASK www.ba##u.com
- DNS ASK www.66##.8800.org
- DNS ASK ms#.#912345.com
Другое:
Ищет следующие окна:
- ClassName: 'IEFrame' WindowName: ''
- ClassName: '' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
- ClassName: 'CabinetWClass' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
