BackDoor.BlackEnergy.80

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[<HKLM>\System\CurrentControlSet\Services\amdide] 'Start' = '00000002'

Подменяет следующие исполняемые системные файлы

<SYSTEM32>\en-US\user32.dll.mui файлом <SYSTEM32>\en-us\user32.dll.mui.tmp
%WINDIR%\SysWOW64\en-US\user32.dll.mui файлом %WINDIR%\syswow64\en-us\user32.dll.mui.tmp
<DRIVERS>\amdide.sys файлом %WINDIR%\amdides

Заражает следующие исполняемые файлы

<SYSTEM32>\en-us\user32.dll.mui.tmp
%WINDIR%\syswow64\en-us\user32.dll.mui.tmp

Изменения в файловой системе

Создает следующие файлы

<SYSTEM32>\en-us\user32.dll.mui.tmp
%WINDIR%\rescache\wip\segment4.cmf
%WINDIR%\rescache\wip\segment3.toc
%WINDIR%\rescache\wip\segment3.cmf
%WINDIR%\rescache\wip\segment2.toc
%WINDIR%\rescache\wip\segment2.cmf
%WINDIR%\rescache\wip\segment1.toc
%WINDIR%\rescache\wip\segment1.cmf
%WINDIR%\rescache\wip\segment0.toc
%WINDIR%\rescache\wip\segment0.cmf
%WINDIR%\rescache\wip\rescache.hit
%WINDIR%\rescache\rc0000\rescache.hit
%WINDIR%\rescache\rescache.mni
%WINDIR%\rescache\rc0000\rescache.dir
%WINDIR%\amdides
%WINDIR%\syswow64\en-us\user32.dll.mui.tmp
%WINDIR%\rescache\wip\segment4.toc
%WINDIR%\rescache\wip\rescache.dir

Удаляет следующие файлы

%TEMP%\_@b672.tmp
%TEMP%\_@c552.tmp

Перемещает следующие системные файлы

<SYSTEM32>\en-us\user32.dll.mui в %TEMP%\_@b672.tmp
%WINDIR%\syswow64\en-us\user32.dll.mui в %TEMP%\_@c552.tmp

Самоудаляется.

Другое

Создает и запускает на исполнение

'<SYSTEM32>\cmd.exe' "ping localhost -n 8 & move /Y "%WINDIR%\amdides" "<DRIVERS>\amdide.sys" & ping localhost -n 3 & net start amdide"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c "for /L %i in (1,1,100) do (del /F "<Полный путь к файлу>" & ping localhost -n 2 & if not exist "<Полный путь к файлу>" Exit 1)"' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c <SYSTEM32>\takeown.exe /f "<SYSTEM32>\en-US\user32.dll.mui"
'<SYSTEM32>\ping.exe' localhost -n 3
'%WINDIR%\syswow64\ping.exe' localhost -n 2
'<SYSTEM32>\ping.exe' localhost -n 8
'%WINDIR%\syswow64\cmd.exe' /c "for /L %i in (1,1,100) do (del /F "<Полный путь к файлу>" & ping localhost -n 2 & if not exist "<Полный путь к файлу>" Exit 1)"
'<SYSTEM32>\cmd.exe' "ping localhost -n 8 & move /Y "%WINDIR%\amdides" "<DRIVERS>\amdide.sys" & ping localhost -n 3 & net start amdide"
'%WINDIR%\syswow64\mcbuilder.exe'
'%WINDIR%\syswow64\icacls.exe' %WINDIR%\SysWOW64\en-US\user32.dll.mui /grant *S-1-1-0:(F)
'%WINDIR%\syswow64\cmd.exe' /c "<SYSTEM32>\icacls.exe %WINDIR%\SysWOW64\en-US\user32.dll.mui /grant *S-1-1-0:(F)"
'%WINDIR%\syswow64\icacls.exe' %WINDIR%\SysWOW64\en-US\user32.dll.mui /grant user:F
'%WINDIR%\syswow64\cmd.exe' /c "<SYSTEM32>\icacls.exe %WINDIR%\SysWOW64\en-US\user32.dll.mui /grant %username%:F"
'%WINDIR%\syswow64\takeown.exe' /f "%WINDIR%\SysWOW64\en-US\user32.dll.mui"
'%WINDIR%\syswow64\cmd.exe' /c <SYSTEM32>\takeown.exe /f "%WINDIR%\SysWOW64\en-US\user32.dll.mui"
'<SYSTEM32>\icacls.exe' <SYSTEM32>\en-US\user32.dll.mui /grant *S-1-1-0:(F)
'<SYSTEM32>\cmd.exe' /c "<SYSTEM32>\icacls.exe <SYSTEM32>\en-US\user32.dll.mui /grant *S-1-1-0:(F)"
'<SYSTEM32>\icacls.exe' <SYSTEM32>\en-US\user32.dll.mui /grant user:F
'<SYSTEM32>\cmd.exe' /c "<SYSTEM32>\icacls.exe <SYSTEM32>\en-US\user32.dll.mui /grant %username%:F"
'<SYSTEM32>\takeown.exe' /f "<SYSTEM32>\en-US\user32.dll.mui"
'<SYSTEM32>\net.exe' start amdide
'<SYSTEM32>\net1.exe' start amdide