Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Messenger' = '%WINDIR%\messenger\messenger.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'JSsetup' = '%WINDIR%\system\jssetup\JSsetup.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler] '{C4560D12-CE25-4A2E-A5D4-B5070FCBE282}' = 'csiddll'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler] '{C4560D12-CE25-4A2E-A5D4-B5070FCBE282}' = 'fhtyfile.dll'
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\Shortcut to startup_local.lnk
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\LDMASERVICE] 'Start' = '00000002'
- [<HKLM>\SYSTEM\ControlSet001\Services\osxoty] 'Start' = '00000002'
Подменяет следующие исполняемые системные файлы:
- <SYSTEM32>\dllcache\ipfltdrv.sys файлом <SYSTEM32>\dllcache\ipfltdrv.sys.new
- <DRIVERS>\ipfltdrv.sys файлом <DRIVERS>\ipfltdrv.sys.txt
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\Messenger\setup.exe' llly
- '%TEMP%\llly99.exe'
- '<SYSTEM32>\roleb.exe'
- '<SYSTEM32>\ilovy.exe'
- '<SYSTEM32>\ilovy.exe' /service
- '%TEMP%\lqbzse.exe'
- '%TEMP%\small99.exe'
- '%TEMP%\svehost.exe'
- '%TEMP%\syseter.exe'
- '%TEMP%\selvice.exe'
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c afc9fe2f418b00a0.bat
- '<SYSTEM32>\regsvr32.exe' /s %WINDIR%\System\flyplug.dll
- '<SYSTEM32>\ping.exe' 127.0.0.1
- '<SYSTEM32>\ping.exe' -n 3 127.0.0.1
- '<SYSTEM32>\cmd.exe' /c <SYSTEM32>\vzbcqbenw.bat
- '<SYSTEM32>\net1.exe' start LDMASERVICE
- '<SYSTEM32>\regsvr32.exe' /s <SYSTEM32>\fhtyfile.dll
- '<SYSTEM32>\sc.exe' start ipfilterdriver
- '<SYSTEM32>\sc.exe' stop ipfilterdriver
- '<SYSTEM32>\rundll32.exe' try8213.dll , InstallMyDll
- '<SYSTEM32>\regsvr32.exe' "%TEMP%\Messenger\ThunderSafe.dll" /s
- '<SYSTEM32>\sc.exe' create osxoty type= kernel start= auto binpath= <DRIVERS>\osxoty.sys
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\afc9fe2f418b00a0.bat
- %WINDIR%\system\flyplug.dll
- C:\svchost.exe
- %TEMP%\3596799a1543bc9f.aqq
- <SYSTEM32>\mssrcid.ini
- %TEMP%\Messenger\setup.exe
- %TEMP%\Messenger\nvsys.ini
- %TEMP%\Messenger\sysvc.dat
- %TEMP%\Messenger\sysmain.dat
- <SYSTEM32>\Web.ini
- %WINDIR%\msapps\as6781.nfo
- <SYSTEM32>\vzbcqbenw.bat
- <SYSTEM32>\evffsl.bat
- %WINDIR%\msagent\np8623.tlb
- %WINDIR%\messenger\messenger.exe
- C:\startup_localz.exe
- %WINDIR%\srchasst\egv0642
- %WINDIR%\ime\zh2710.dll
- %TEMP%\llly99.exe
- %TEMP%\syseter.exe
- %WINDIR%\srchasst\git6089.lex
- %TEMP%\Color.exe
- %TEMP%\selvice.exe
- %TEMP%\small99.exe
- %TEMP%\nsk2.tmp
- %TEMP%\svehost.exe
- %TEMP%\lqbzse.exe
- %TEMP%\Messenger\ThunderSafe.dll
- <SYSTEM32>\fhtyfile.dll
- %TEMP%\Messenger\ccfapi321.dll
- %TEMP%\Messenger\ccfapi32.dll
- <SYSTEM32>\temp.dll
- <DRIVERS>\osxoty.log
- %TEMP%\3.tmp
- <SYSTEM32>\dllcache\try8213.dll
- <SYSTEM32>\try8213.dll
Удаляет следующие файлы:
- %TEMP%\small99.exe
- %TEMP%\selvice.exe
- <SYSTEM32>\hwoqpthqpi.bat
- %TEMP%\3596799a1543bc9f.aqq
- <DRIVERS>\ipfltdrv.sys
- %TEMP%\3.tmp
- %TEMP%\lqbzse.exe
Перемещает следующие файлы:
- %TEMP%\Messenger\sysmain.dat в <SYSTEM32>\roleb.exe
- <DRIVERS>\ipfltdrv.sys.new в <DRIVERS>\ipfltdrv.sys
- <SYSTEM32>\evffsl.bat в <SYSTEM32>\hwoqpthqpi.bat
- <DRIVERS>\osxoty.log в <DRIVERS>\osxoty.sys
- %TEMP%\Messenger\sysvc.dat в <SYSTEM32>\ilovy.exe
- %TEMP%\Messenger\nvsys.ini в <SYSTEM32>\spmfc.ini
Сетевая активность:
Подключается к:
- 'www.ba###com.net.cn':8080
- 'localhost':1039
UDP:
- DNS ASK www.de##a.cn
- DNS ASK www.ba##u.com
- DNS ASK www.su###qqface.com
- DNS ASK www.ba###com.net.cn
- DNS ASK www.66##.8800.org
- DNS ASK ms#.#912345.com
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
