Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'EsWebSocketKit' = '"%ProgramFiles(x86)%\EsWebSocketKit\ESWebSocket.exe"'
- [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'EsHttpServer' = '"%ProgramFiles(x86)%\EsWebSocketKit\EsHttpServer.exe"'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\citic_ft_activeeswebsocket_a8b1f6f5477b
- <SYSTEM32>\tasks\citic_ft_activeeshttpserver_b8b1f6f5477b
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /f /im ESWebSocket.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im EsHttpServer.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\nsz9df4.tmp
- %TEMP%\nsu9e24.tmp\system.dll
- %TEMP%\nsu9e24.tmp\nsexec.dll
- %ProgramFiles(x86)%\eswebsocketkit\eswebsocket.exe
- %ProgramFiles(x86)%\eswebsocketkit\eshttpserver.exe
- %ProgramFiles(x86)%\eswebsocketkit\iactivexctrl.dll
- %ProgramFiles(x86)%\eswebsocketkit\dh.pem
- %ProgramFiles(x86)%\eswebsocketkit\cert.cer
- %ProgramFiles(x86)%\eswebsocketkit\cert.key
- %TEMP%\cert.cer
- %TEMP%\nssfirefox64.dll
- %TEMP%\regfirefox64.exe
- %APPDATA%\mozilla\firefox\profiles\yfwt7ezn.default-release-1\cert9.db-journal
- %APPDATA%\mozilla\firefox\profiles\yfwt7ezn.default-release-1\key4.db-journal
- %ProgramFiles%\mozilla firefox\defaults\pref\root_cert_setting_for_websocket.js
Удаляет следующие файлы
- %APPDATA%\mozilla\firefox\profiles\yfwt7ezn.default-release-1\cert9.db-journal
- %APPDATA%\mozilla\firefox\profiles\yfwt7ezn.default-release-1\key4.db-journal
- %TEMP%\nsu9e24.tmp\nsexec.dll
- %TEMP%\nsu9e24.tmp\system.dll
Изменяет следующие файлы
- %APPDATA%\mozilla\firefox\profiles\yfwt7ezn.default-release-1\cert9.db
- %APPDATA%\mozilla\firefox\profiles\yfwt7ezn.default-release-1\key4.db
Подменяет следующие файлы
- %APPDATA%\mozilla\firefox\profiles\yfwt7ezn.default-release-1\cert9.db-journal
Другое
Добавляет корневой сертификат
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\regfirefox64.exe' /init /cert %TEMP%\cert.cer
- '%ProgramFiles(x86)%\eswebsocketkit\eswebsocket.exe'
- '%ProgramFiles(x86)%\eswebsocketkit\eshttpserver.exe'
- '%WINDIR%\syswow64\taskkill.exe' /f /im ESWebSocket.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im EsHttpServer.exe' (со скрытым окном)
- '%TEMP%\regfirefox64.exe' /init /cert %TEMP%\cert.cer' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c schtasks /delete /TN CITIC_FT_ActiveESWebSocket_A8B1F6F5477B /F' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c schtasks /create /TN CITIC_FT_ActiveESWebSocket_A8B1F6F5477B /tr "'%ProgramFiles(x86)%\EsWebSocketKit\ESWebSocket.exe'" /sc MINUTE /mo 1' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c schtasks /delete /TN CITIC_FT_ActiveEsHttpServer_B8B1F6F5477B /F' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c schtasks /create /TN CITIC_FT_ActiveEsHttpServer_B8B1F6F5477B /tr "'%ProgramFiles(x86)%\EsWebSocketKit\EsHttpServer.exe'" /sc MINUTE /mo 1' (со скрытым окном)
- '%ProgramFiles(x86)%\eswebsocketkit\eshttpserver.exe' ' (со скрытым окном)
- '%ProgramFiles(x86)%\eswebsocketkit\eswebsocket.exe' ' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c schtasks /delete /TN CITIC_FT_ActiveESWebSocket_A8B1F6F5477B /F
- '%WINDIR%\syswow64\schtasks.exe' /delete /TN CITIC_FT_ActiveESWebSocket_A8B1F6F5477B /F
- '%WINDIR%\syswow64\cmd.exe' /c schtasks /create /TN CITIC_FT_ActiveESWebSocket_A8B1F6F5477B /tr "'%ProgramFiles(x86)%\EsWebSocketKit\ESWebSocket.exe'" /sc MINUTE /mo 1
- '%WINDIR%\syswow64\schtasks.exe' /create /TN CITIC_FT_ActiveESWebSocket_A8B1F6F5477B /tr "'%ProgramFiles(x86)%\EsWebSocketKit\ESWebSocket.exe'" /sc MINUTE /mo 1
- '%WINDIR%\syswow64\cmd.exe' /c schtasks /delete /TN CITIC_FT_ActiveEsHttpServer_B8B1F6F5477B /F
- '%WINDIR%\syswow64\schtasks.exe' /delete /TN CITIC_FT_ActiveEsHttpServer_B8B1F6F5477B /F
- '%WINDIR%\syswow64\cmd.exe' /c schtasks /create /TN CITIC_FT_ActiveEsHttpServer_B8B1F6F5477B /tr "'%ProgramFiles(x86)%\EsWebSocketKit\EsHttpServer.exe'" /sc MINUTE /mo 1
- '%WINDIR%\syswow64\schtasks.exe' /create /TN CITIC_FT_ActiveEsHttpServer_B8B1F6F5477B /tr "'%ProgramFiles(x86)%\EsWebSocketKit\EsHttpServer.exe'" /sc MINUTE /mo 1
- '<SYSTEM32>\taskeng.exe' {80BB32DF-90BE-4689-B24A-385D68E67700} S-1-5-21-1238866942-1249195528-555854008-1000:cpqjbwrryqkd\user:Interactive:[1]
