Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\Software\Classes\DLPOut.Document\Shell\Open\Command] '' = '%WINDIR%\DSEOFPS.exe "%1"'
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\DlpStartService] 'Start' = '00000002'
- [HKLM\System\CurrentControlSet\Services\DlpStartService] 'ImagePath' = '%WINDIR%\DSEDlpOfpsOutTemp\dseOutDir\DlpStartService.exe'
- [HKLM\System\CurrentControlSet\Services\DSESafeCtrlDrv] 'Start' = '00000001'
- [HKLM\System\CurrentControlSet\Services\DSESafeCtrlDrv] 'ImagePath' = '<DRIVERS>\DSESafeCtrlDrv.sys'
- [HKLM\System\CurrentControlSet\Services\effsoftdse] 'Start' = '00000001'
- [HKLM\System\CurrentControlSet\Services\effsoftdse] 'ImagePath' = '%WINDIR%\DSEDlpOfpsOutTemp\dseOutDir\DseDriver64.sys'
Создает следующие сервисы
- 'DlpStartService' %WINDIR%\DSEDlpOfpsOutTemp\dseOutDir\DlpStartService.exe
- 'DSESafeCtrlDrv' <DRIVERS>\DSESafeCtrlDrv.sys
- 'effsoftdse' %WINDIR%\DSEDlpOfpsOutTemp\dseOutDir\DseDriver64.sys
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\dseofps.exe
следующие пользовательские процессы:
- iexplore.exe
Перехватывает функции
в браузерах
- Процесс firefox.exe, модуль wtsapi32.dll
- Процесс firefox.exe, модуль advapi32.dll
- Процесс firefox.exe, модуль cryptsp.dll
- Процесс firefox.exe, модуль mswsock.dll
- Процесс firefox.exe, модуль iphlpapi.dll
- Процесс firefox.exe, модуль urlmon.dll
- Процесс firefox.exe, модуль crypt32.dll
- Процесс firefox.exe, модуль wsock32.dll
- Процесс firefox.exe, модуль wininet.dll
- Процесс firefox.exe, модуль nss3.dll
- Процесс firefox.exe, модуль wintrust.dll
- Процесс firefox.exe, модуль dnsapi.dll
- Процесс firefox.exe, модуль netutils.dll
Регистрирует фильтр файловой системы
- [HKLM\System\CurrentControlSet\Services\DSESafeCtrlDrv] 'Group' = 'FSFilter Top'
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\dsedlpofpsouttemp\langxmls\sample chinese.lng.xml
- %WINDIR%\con.{645ff040-5081-101b-9f08-00aa002f954e}\s-22-{c88b516a-d3c0-4fb7-b713-cab6bea9ab7d}
- %WINDIR%\con.{645ff040-5081-101b-9f08-00aa002f954e}\s-22-{c88b516a-d3c0-4fb7-b713-cab6bea9ab7d}-journal
- %WINDIR%\syswow64\dlpoutfileicons.dll
- %WINDIR%\syswow64\printwatermark.dll
- %WINDIR%\dsedlpofpsouttemp\dseoutdir\dlpstartservice.exe
- <SYSTEM32>\dlpoutfileicons64.dll
- %WINDIR%\dsedlpofpsouttemp\dseoutdir\dseservice64.exe
- %WINDIR%\dsedlpofpsouttemp\dseoutdir\dsesafectrldrv64.sys
- <DRIVERS>\dsesafectrldrv.sys
- %WINDIR%\dsedlpofpsouttemp\dseoutdir\dsesafectrldrv.sys
- %WINDIR%\temp\uddb616.tmp
- %WINDIR%\dsedlpofpsouttemp\dseoutdir\dsedriver64.sys
- %WINDIR%\dsedlpofpsouttemp\dseoutdir\printwatermark64.dll
- %WINDIR%\dsedlpofpsouttemp\dseoutdir\printwatermark.dll
- %WINDIR%\dsedlpofpsouttemp\dseoutdir\dsefilesystemext64.dll
- %WINDIR%\dsedlpofpsouttemp\dseoutdir\dsefilesystemext.dll
- %WINDIR%\dsedlpofpsouttemp\dseoutdir\drvinterface.dll
- %WINDIR%\dsedlpofpsouttemp\effsoftfdc.png
- %WINDIR%\dsedlpofpsouttemp\dseoutdir\ofps.log
- %WINDIR%\dseofps.exe
- %WINDIR%\dsedlpofpsouttemp\langxmls\tradition chinese.lng.xml
- %WINDIR%\dsedlpofpsouttemp\langxmls\english.lng.xml
- %WINDIR%\dsedlpofpsouttemp\dseoutdir\dsedriver32.sys
- %WINDIR%\temp\uddb655.tmp
Удаляет следующие файлы
- %WINDIR%\con.{645ff040-5081-101b-9f08-00aa002f954e}\s-22-{c88b516a-d3c0-4fb7-b713-cab6bea9ab7d}-journal
- %WINDIR%\temp\uddb655.tmp
- %WINDIR%\temp\uddb616.tmp
Перемещает следующие файлы
- <DRIVERS>\dsesafectrldrv.sys в <DRIVERS>\dsesafectrldrv.sys.old
Подменяет следующие файлы
- <DRIVERS>\dsesafectrldrv.sys
- %WINDIR%\con.{645ff040-5081-101b-9f08-00aa002f954e}\s-22-{c88b516a-d3c0-4fb7-b713-cab6bea9ab7d}-journal
Сетевая активность
UDP
- DNS ASK cn.##ol.ntp.org
- '21#.#2.145.44':123
- 'cn.##ol.ntp.org':123
Другое
Создает и запускает на исполнение
- '%WINDIR%\dseofps.exe'
- '%WINDIR%\dsedlpofpsouttemp\dseoutdir\dlpstartservice.exe' -i
- '%WINDIR%\dsedlpofpsouttemp\dseoutdir\dlpstartservice.exe'
- '%WINDIR%\dsedlpofpsouttemp\dseoutdir\dseservice64.exe' Inject -i -ns
- '%WINDIR%\dsedlpofpsouttemp\dseoutdir\dlpstartservice.exe' -i' (со скрытым окном)
- '<SYSTEM32>\regsvr32.exe' /s %WINDIR%\SysWOW64\DlpOutFileIcons.dll' (со скрытым окном)
- '<SYSTEM32>\regsvr32.exe' /s <SYSTEM32>\DlpOutFileIcons64.dll' (со скрытым окном)
- '%WINDIR%\dsedlpofpsouttemp\dseoutdir\dseservice64.exe' Inject -i -ns' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\regsvr32.exe' /s %WINDIR%\SysWOW64\DlpOutFileIcons.dll
- '<SYSTEM32>\regsvr32.exe' /s <SYSTEM32>\DlpOutFileIcons64.dll
