Техническая информация
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
Для затруднения выявления своего присутствия в системе
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
Создает и запускает на исполнение:
- '%PROGRAM_FILES%\HeavenFire Setup\MAP1.exe'
- '%PROGRAM_FILES%\HeavenFire Setup\432878482948528.dat'
- '%PROGRAM_FILES%\HeavenFire Setup\Loader.exe'
- '%PROGRAM_FILES%\HeavenFire Setup\Loaders.exe'
Запускает на исполнение:
- '<SYSTEM32>\net1.exe' stop WinDefend
- '<SYSTEM32>\net1.exe' stop security center
- '<SYSTEM32>\netsh.exe' firewall set opmode disable
- '<SYSTEM32>\net.exe' stop WinDefend
- '<SYSTEM32>\net.exe' stop security center
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'OLLYDBG' WindowName: '(null)'
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\releasehistoryusa_new[1].xml
- %TEMP%\Knight_USA\announcements.xml
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\newest_namelink[1].xsl
- %TEMP%\Knight_USA\releasehistoryusa_new.xml
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\announcements[1].xml
- %TEMP%\xml.js
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\xml[1].js
- %TEMP%\refresh.css
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\refresh[1].css
- %TEMP%\img\add.gif
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\add[1].gif
- %TEMP%\img\sub.gif
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\sub[1].gif
- %TEMP%\Knight2\EN\refreshcontentusa_new.xsl
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\refreshcontentusa_test[1].xsl
- %TEMP%\Knight2\EN\newest_namelink.xsl
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\refreshcontentusa_new[1].xsl
- %TEMP%\Knight2\EN\refreshcontentusa_test.xsl
- %PROGRAM_FILES%\HeavenFire Setup\Loader.exe
- %PROGRAM_FILES%\HeavenFire Setup\internation\Turkish.ini
- %PROGRAM_FILES%\HeavenFire Setup\MAP1.exe
- %PROGRAM_FILES%\HeavenFire Setup\Loaders.exe
- %PROGRAM_FILES%\HeavenFire Setup\internation\Spanish.ini
- %PROGRAM_FILES%\HeavenFire Setup\internation\config.ini
- %PROGRAM_FILES%\HeavenFire Setup\internation\chinese.ini
- %PROGRAM_FILES%\HeavenFire Setup\Server.ini
- %PROGRAM_FILES%\HeavenFire Setup\internation\english.ini
- %APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\88603cb2913a7df3fbd16b5f958e6447_23ef5514-3059-436f-a4a7-4cefaab20eb1
- %APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\Preferred
- %TEMP%\refreshusa.html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\refreshusa[1].html
- %APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\2cdca776-8afb-4cb3-9a22-8889fefc204c
- %PROGRAM_FILES%\HeavenFire Setup\432878482948528.dat
- %PROGRAM_FILES%\HeavenFire Setup\MultiConsole.dat
- %PROGRAM_FILES%\HeavenFire Setup\config.ini
Удаляет следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\refreshcontentusa_test[1].xsl
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\newest_namelink[1].xsl
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\refreshcontentusa_new[1].xsl
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\sub[1].gif
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\add[1].gif
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\xml[1].js
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\refreshusa[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\refresh[1].css
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\releasehistoryusa_new[1].xml
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\announcements[1].xml
Сетевая активность:
Подключается к:
- 'www.ne###obot.com':80
TCP:
Запросы HTTP GET:
- www.ne###obot.com/Knight2/EN/refreshcontentusa_test.xsl
- www.ne###obot.com/Knight2/EN/newest_namelink.xsl
- www.ne###obot.com/Knight2/EN/refreshcontentusa_new.xsl
- www.ne###obot.com/img/sub.gif
- www.ne###obot.com/img/add.gif
- www.ne###obot.com/xml.js
- www.ne###obot.com/refreshusa.html
- www.ne###obot.com/refresh.css
- www.ne###obot.com/Knight_USA/releasehistoryusa_new.xml
- www.ne###obot.com/Knight_USA/announcements.xml
UDP:
- DNS ASK www.ne###obot.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: 'Progman' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
