Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\BLDBaseService] 'Start' = '00000001'
- [HKLM\System\CurrentControlSet\Services\BLDBaseService] 'ImagePath' = '%ProgramFiles%\BLDBaseService\BLDService.sys'
Создает следующие сервисы
- 'BLDBaseService' %ProgramFiles%\BLDBaseService\BLDService.sys
Вредоносные функции
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\winlogon.exe
- %WINDIR%\explorer.exe
Изменения в файловой системе
Создает следующие файлы
- <Текущая директория>\config.ini
- %ProgramFiles%\bldbaseservice\2.txt
- %ProgramFiles%\bldbaseservice\1.txt
- %WINDIR%\syswow64\gzip.dll
- %ALLUSERSPROFILE%\bldbaseservice\statconfig.ini
- %ALLUSERSPROFILE%\bldbaseservice\soft_installed.xml
- %ALLUSERSPROFILE%\bldbaseservice\config_update.xml
- %WINDIR%\temp\udda794.tmp
- %ProgramFiles%\bldbaseservice\bldfixer.exe
- %ProgramFiles%\bldbaseservice\setting.ini
- %ALLUSERSPROFILE%\bldbaseservice\softupdate.xml
- %ALLUSERSPROFILE%\bldbaseservice\config_update.bak
- %ProgramFiles%\bldbaseservice\configuration64.exe
- %ProgramFiles%\bldbaseservice\bldbaseservice.exe
- %ProgramFiles%\bldbaseservice\bldservice.sys
- %ProgramFiles%\bldbaseservice\uninst.ico
- %ProgramFiles%\bldbaseservice\uninst.exe
- %ProgramFiles%\bldbaseservice\setupplugins.dll
- %ProgramFiles%\bldbaseservice\bbhelper.dll
- %ProgramFiles%\bldbaseservice\bbcomm.dll
- %ProgramFiles%\bldbaseservice\configuration.exe
- %ProgramFiles%\bldbaseservice\bldbaseservice.dll
- %TEMP%\bldinstall.log
- %TEMP%\setupplugins.dll
- %TEMP%\nsq95da.tmp\system.dll
- %TEMP%\nsq95d9.tmp
- D:\cy86.exe
- %ProgramFiles%\bldbaseservice\bldbaseservice64.dll
- %ProgramFiles%\bldbaseservice\plk
Присваивает атрибут 'скрытый' для следующих файлов
- D:\cy86.exe
- %ProgramFiles%\bldbaseservice\plk
Удаляет следующие файлы
- %TEMP%\setupplugins.dll
- %WINDIR%\temp\udda794.tmp
- %TEMP%\nsq95da.tmp\system.dll
- %ProgramFiles%\bldbaseservice\bbcomm.dll
- %ProgramFiles%\bldbaseservice\bbhelper.dll
- %ProgramFiles%\bldbaseservice\bldbaseservice.dll
- %ProgramFiles%\bldbaseservice\bldbaseservice64.dll
- %ProgramFiles%\bldbaseservice\bldfixer.exe
- %ProgramFiles%\bldbaseservice\bldservice.sys
- %ProgramFiles%\bldbaseservice\configuration.exe
- %ProgramFiles%\bldbaseservice\configuration64.exe
- %ProgramFiles%\bldbaseservice\setting.ini
- %ProgramFiles%\bldbaseservice\setupplugins.dll
- %ProgramFiles%\bldbaseservice\uninst.exe
- %ProgramFiles%\bldbaseservice\uninst.ico
- D:\cy86.exe
Подменяет следующие исполняемые файлы
- <Полный путь к файлу>
Подменяет следующие файлы
- %TEMP%\setupplugins.dll
- %ProgramFiles%\bldbaseservice\setting.ini
- %ProgramFiles%\bldbaseservice\bldservice.sys
Самоперемещается
- из <Полный путь к файлу> в %TEMP%\[053c9f849dac34d3246b7fb9fa2cf9c3]
Сетевая активность
Подключается к
- 'ap#.gsie.cn':80
- 'ba##u.com':80
- 'up####.u.gsie.cn':80
UDP
- DNS ASK 12###.iboluo.cc
- DNS ASK ap#.gsie.cn
- DNS ASK ba##u.com
- DNS ASK up####.u.gsie.cn
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- 'D:\cy86.exe' /S
- '%ProgramFiles%\bldbaseservice\configuration.exe' "-act=ar" "-file=%ALLUSERSPROFILE%\BLDBaseService"
- '%ProgramFiles%\bldbaseservice\configuration64.exe' "-act=install" "-proc=winlogon.exe" "-dll=%ProgramFiles%\BLDBaseService\BLDBaseService64.dll"
- '%ProgramFiles%\bldbaseservice\configuration64.exe' "-act=install" "-proc=explorer.exe" "-dll=%ProgramFiles%\BLDBaseService\BLDBaseService64.dll"
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C d:\cy86.exe /S (со скрытым окном)
