Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '湖南银行飞天二代key驱动_HRXJ' = '%ProgramFiles(x86)%\HRXJ Bank AudioPass3000 Manager\certd_I3000_HRXJ.exe'
- [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'EsWebSocketKit' = '"%ProgramFiles(x86)%\EsWebSocketKit\ESWebSocket.exe"'
- [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'EsHttpServer' = '"%ProgramFiles(x86)%\EsWebSocketKit\EsHttpServer.exe"'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\citic_ft_activeeswebsocket_a8b1f6f5477b
- <SYSTEM32>\tasks\citic_ft_activeeshttpserver_b8b1f6f5477b
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\AutoScsiService] 'ImagePath' = '<SYSTEM32>\rundll32.exe <SYSTEM32>\HRXJ_I~2.DLL,eb_service'
Создает следующие сервисы
- 'AutoScsiService' <SYSTEM32>\rundll32.exe <SYSTEM32>\HRXJ_I~2.DLL,eb_service
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /f /im ESWebSocket.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im EsHttpServer.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\nss2f4b.tmp
- %WINDIR%\syswow64\hrxj_ft3kusbkey.ocx
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\hrxj bank key(ft)\audiopass3000 manager\audiopass3000 manager.lnk
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\hrxj bank key(ft)\audiopass3000 manager\uninstall audiopass3000.lnk
- <SYSTEM32>\hrxj_ip3k.sig
- <SYSTEM32>\hrxj_ip3k_s.dll
- <SYSTEM32>\hrxj_ip3k.dll
- %ProgramFiles(x86)%\eswebsocketkit\eswebsocket.exe
- %ProgramFiles(x86)%\hrxj bank audiopass3000 manager\lang\escertd_hrxj_1033.lng
- %ProgramFiles(x86)%\eswebsocketkit\eshttpserver.exe
- %ProgramFiles(x86)%\eswebsocketkit\dh.pem
- %ProgramFiles(x86)%\eswebsocketkit\cert.cer
- %ProgramFiles(x86)%\eswebsocketkit\cert.key
- %TEMP%\cert.cer
- %TEMP%\nssfirefox64.dll
- %TEMP%\regfirefox64.exe
- %APPDATA%\mozilla\firefox\profiles\yfwt7ezn.default-release-1\cert9.db-journal
- %WINDIR%\syswow64\hrxj_ip3k_s.dll
- %WINDIR%\syswow64\hrxj_ip3k.dll
- %WINDIR%\syswow64\hrxj_ip3k.sig
- %ProgramFiles(x86)%\hrxj bank audiopass3000 manager\lang\esmgr_hrxj_2052.lng
- %TEMP%\nsm3e1a.tmp\nsexec.dll
- %TEMP%\nss2f9a.tmp\userinfo.dll
- %TEMP%\nss2f9a.tmp\modern-header.bmp
- %ProgramFiles(x86)%\hrxj bank audiopass3000 manager\uninst.exe
- %ProgramFiles(x86)%\hrxj bank audiopass3000 manager\certd_i3000_hrxj.exe
- %ProgramFiles(x86)%\hrxj bank audiopass3000 manager\interpass3000.ini
- %ProgramFiles(x86)%\hrxj bank audiopass3000 manager\update.exe
- %ProgramFiles(x86)%\hrxj bank audiopass3000 manager\eswebsocketkit.exe
- %APPDATA%\mozilla\firefox\profiles\yfwt7ezn.default-release-1\key4.db-journal
- %ProgramFiles(x86)%\eswebsocketkit\iactivexctrl.dll
- %ProgramFiles(x86)%\hrxj bank audiopass3000 manager\lang\escertd_hrxj_1028.lng
- %ProgramFiles(x86)%\hrxj bank audiopass3000 manager\lang\escsp_hrxj_1028.lng
- %ProgramFiles(x86)%\hrxj bank audiopass3000 manager\lang\escsp_hrxj_1033.lng
- %ProgramFiles(x86)%\hrxj bank audiopass3000 manager\lang\escsp_hrxj_2052.lng
- %ProgramFiles(x86)%\hrxj bank audiopass3000 manager\lang\esmgr_hrxj_1028.lng
- %TEMP%\nsm3e19.tmp
- %ProgramFiles(x86)%\hrxj bank audiopass3000 manager\lang\esmgr_hrxj_1033.lng
- %TEMP%\nsm3e1a.tmp\system.dll
- %TEMP%\nss2f9a.tmp\system.dll
- %ProgramFiles(x86)%\hrxj bank audiopass3000 manager\lang\escertd_hrxj_2052.lng
- %ProgramFiles%\mozilla firefox\defaults\pref\root_cert_setting_for_websocket.js
Удаляет следующие файлы
- %TEMP%\nss2f9a.tmp\modern-header.bmp
- %TEMP%\nss2f9a.tmp\system.dll
- %TEMP%\nss2f9a.tmp\userinfo.dll
- %APPDATA%\mozilla\firefox\profiles\yfwt7ezn.default-release-1\cert9.db-journal
- %APPDATA%\mozilla\firefox\profiles\yfwt7ezn.default-release-1\key4.db-journal
- %TEMP%\nsm3e1a.tmp\nsexec.dll
- %TEMP%\nsm3e1a.tmp\system.dll
Изменяет следующие файлы
- %APPDATA%\mozilla\firefox\profiles\yfwt7ezn.default-release-1\cert9.db
- %APPDATA%\mozilla\firefox\profiles\yfwt7ezn.default-release-1\key4.db
Подменяет следующие файлы
- %APPDATA%\mozilla\firefox\profiles\yfwt7ezn.default-release-1\cert9.db-journal
Другое
Добавляет корневой сертификат
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%ProgramFiles(x86)%\hrxj bank audiopass3000 manager\eswebsocketkit.exe'
- '%ProgramFiles(x86)%\hrxj bank audiopass3000 manager\certd_i3000_hrxj.exe'
- '%TEMP%\regfirefox64.exe' /init /cert %TEMP%\cert.cer
- '%ProgramFiles(x86)%\eswebsocketkit\eswebsocket.exe'
- '%ProgramFiles(x86)%\eswebsocketkit\eshttpserver.exe'
- '%WINDIR%\syswow64\taskkill.exe' /f /im ESWebSocket.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im EsHttpServer.exe' (со скрытым окном)
- '%TEMP%\regfirefox64.exe' /init /cert %TEMP%\cert.cer' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c schtasks /delete /TN CITIC_FT_ActiveESWebSocket_A8B1F6F5477B /F' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c schtasks /create /TN CITIC_FT_ActiveESWebSocket_A8B1F6F5477B /tr "'%ProgramFiles(x86)%\EsWebSocketKit\ESWebSocket.exe'" /sc MINUTE /mo 1' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c schtasks /delete /TN CITIC_FT_ActiveEsHttpServer_B8B1F6F5477B /F' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c schtasks /create /TN CITIC_FT_ActiveEsHttpServer_B8B1F6F5477B /tr "'%ProgramFiles(x86)%\EsWebSocketKit\EsHttpServer.exe'" /sc MINUTE /mo 1' (со скрытым окном)
- '%ProgramFiles(x86)%\eswebsocketkit\eshttpserver.exe' ' (со скрытым окном)
- '%ProgramFiles(x86)%\eswebsocketkit\eswebsocket.exe' ' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\regsvr32.exe' /s <SYSTEM32>\HRXJ_FT3kUsbKey.ocx
- '%WINDIR%\syswow64\rundll32.exe' <SYSTEM32>\HRXJ_I~2.DLL,eb_service
- '%WINDIR%\syswow64\cmd.exe' /c schtasks /delete /TN CITIC_FT_ActiveESWebSocket_A8B1F6F5477B /F
- '%WINDIR%\syswow64\schtasks.exe' /delete /TN CITIC_FT_ActiveESWebSocket_A8B1F6F5477B /F
- '%WINDIR%\syswow64\cmd.exe' /c schtasks /create /TN CITIC_FT_ActiveESWebSocket_A8B1F6F5477B /tr "'%ProgramFiles(x86)%\EsWebSocketKit\ESWebSocket.exe'" /sc MINUTE /mo 1
- '%WINDIR%\syswow64\schtasks.exe' /create /TN CITIC_FT_ActiveESWebSocket_A8B1F6F5477B /tr "'%ProgramFiles(x86)%\EsWebSocketKit\ESWebSocket.exe'" /sc MINUTE /mo 1
- '%WINDIR%\syswow64\cmd.exe' /c schtasks /delete /TN CITIC_FT_ActiveEsHttpServer_B8B1F6F5477B /F
- '%WINDIR%\syswow64\schtasks.exe' /delete /TN CITIC_FT_ActiveEsHttpServer_B8B1F6F5477B /F
- '%WINDIR%\syswow64\cmd.exe' /c schtasks /create /TN CITIC_FT_ActiveEsHttpServer_B8B1F6F5477B /tr "'%ProgramFiles(x86)%\EsWebSocketKit\EsHttpServer.exe'" /sc MINUTE /mo 1
- '%WINDIR%\syswow64\schtasks.exe' /create /TN CITIC_FT_ActiveEsHttpServer_B8B1F6F5477B /tr "'%ProgramFiles(x86)%\EsWebSocketKit\EsHttpServer.exe'" /sc MINUTE /mo 1
- '<SYSTEM32>\taskeng.exe' {DE6921EC-D9AF-4E87-91E9-E1D489BBA8A4} S-1-5-21-1238866942-1249195528-555854008-1000:fqgbup\user:Interactive:[1]
