Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\Software\Classes\NTSMagicLineNP\shell\open\command] '' = '"%ProgramFiles(x86)%\DreamSecurity\MagicLine4NX\MagicLine4NX.exe" "%1"'
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /f /im NTSMagicLineNP.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im MagicLine4NX.exe
Изменяет следующие настройки браузера Windows Internet Explorer
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1406' = '00000000'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1607' = '00000000'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] 'CurrentLevel' = '00000000'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1406' = '00000000'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1607' = '00000000'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] 'CurrentLevel' = '00000000'
- [HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1406' = '00000000'
- [HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1607' = '00000000'
- [HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] 'CurrentLevel' = '00000000'
- [HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1406' = '00000000'
- [HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1607' = '00000000'
- [HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] 'CurrentLevel' = '00000000'
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\nsxc294.tmp\system.dll
- %ProgramFiles(x86)%\dreamsecurity\magicline4nx\cert\libnspr4.dll
- %ProgramFiles(x86)%\dreamsecurity\magicline4nx\cert\libplc4.dll
- %ProgramFiles(x86)%\dreamsecurity\magicline4nx\cert\libplds4.dll
- %ProgramFiles(x86)%\dreamsecurity\magicline4nx\cert\nss3.dll
- %ProgramFiles(x86)%\dreamsecurity\magicline4nx\cert\smime3.dll
- %ProgramFiles(x86)%\dreamsecurity\magicline4nx\cert\softokn3.dll
- %ProgramFiles(x86)%\dreamsecurity\magicline4nx\cert\freebl3.dll
- %ProgramFiles(x86)%\dreamsecurity\magicline4nx\cert\nspr4.dll
- %ProgramFiles(x86)%\dreamsecurity\magicline4nx\cert\nssutil3.dll
- %APPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\cert9.db-journal
- %ProgramFiles(x86)%\dreamsecurity\magicline4nx\cert\plc4.dll
- %ProgramFiles(x86)%\dreamsecurity\magicline4nx\cert\plds4.dll
- %ProgramFiles(x86)%\dreamsecurity\magicline4nx\cert\sqlite3.dll
- %APPDATA%\microsoft\windows\start menu\programs\magicline4nx\magicline4nx.lnk
- %APPDATA%\microsoft\windows\start menu\programs\magicline4nx\uninstall.lnk
- %APPDATA%\mozilla\firefox\profiles\m15ucxjx.default\secmod.db
- %APPDATA%\mozilla\firefox\profiles\m15ucxjx.default\cert8.db
- %APPDATA%\mozilla\firefox\profiles\m15ucxjx.default\key3.db
- %ProgramFiles(x86)%\dreamsecurity\magicline4nx\cert\importcatofirefoxcheck.vbs
- %ProgramFiles(x86)%\dreamsecurity\magicline4nx\cert\nssdbm3.dll
- %ProgramFiles(x86)%\dreamsecurity\magicline4nx\cert\importcatofirefox.vbs
- %ProgramFiles(x86)%\dreamsecurity\magicline4nx\issueroid.conf
- %TEMP%\nsxc294.tmp\nsprocess.dll
- %TEMP%\nsxc294.tmp\nsisutil.dll
- %TEMP%\nsxc294.tmp\nsexec.dll
- %TEMP%\nsxc294.tmp\killprocdll.dll
- %ProgramFiles(x86)%\dreamsecurity\magicline4nx\certmanager.dll
- %ProgramFiles(x86)%\dreamsecurity\magicline4nx\dsctoolkitv30-v3.4.2.25.dll
- %ProgramFiles(x86)%\dreamsecurity\magicline4nx\magiccrypto32v22.dll
- %ProgramFiles(x86)%\dreamsecurity\magicline4nx\eng.ini
- %ProgramFiles(x86)%\dreamsecurity\magicline4nx\issueroid_eng.conf
- %ProgramFiles(x86)%\dreamsecurity\magicline4nx\cert\dreamsecurity-rootca.der
- %ProgramFiles(x86)%\dreamsecurity\magicline4nx\kor.ini
- %ProgramFiles(x86)%\dreamsecurity\magicline4nx\magicline4nx.exe
- %ProgramFiles(x86)%\dreamsecurity\magicline4nx\magicline4nx.exe.hmac
- %ProgramFiles(x86)%\dreamsecurity\magicline4nx\magicline4nxservices.exe
- %ProgramFiles(x86)%\dreamsecurity\magicline4nx\magicline4nx_uninstall.exe
- %ProgramFiles(x86)%\dreamsecurity\magicline4nx\images\logo.bmp
- %ProgramFiles(x86)%\dreamsecurity\magicline4nx\cert\certmgr.exe
- %ProgramFiles(x86)%\dreamsecurity\magicline4nx\cert\dreamsecurity.com.der
- %ProgramFiles(x86)%\dreamsecurity\magicline4nx\cert\certutil.exe
- %APPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\key4.db-journal
Удаляет следующие файлы
- %APPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\cert9.db-journal
- %APPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\key4.db-journal
Изменяет следующие файлы
- %APPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\cert9.db
- %APPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\key4.db
Подменяет следующие файлы
- %APPDATA%\mozilla\firefox\profiles\v08trqk6.default-release\cert9.db-journal
Другое
Добавляет корневой сертификат
Ищет следующие окна
- ClassName: '#32770' WindowName: ''
- ClassName: 'SysListView32' WindowName: ''
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%ProgramFiles(x86)%\dreamsecurity\magicline4nx\cert\certmgr.exe' -add dreamsecurity-rootca.der -c -s -r localMachine Root
- '%WINDIR%\syswow64\cscript.exe' "%ProgramFiles(x86)%\DreamSecurity\MagicLine4NX\cert\ImportCAtoFirefoxCheck.vbs" "MagicLine4NX"
- '%ProgramFiles(x86)%\dreamsecurity\magicline4nx\cert\certutil.exe' -L -d "%APPDATA%\Mozilla\Firefox\Profiles\m15ucxjx.default" -n "Dreamsecurity ROOT CA"
- '%ProgramFiles(x86)%\dreamsecurity\magicline4nx\cert\certutil.exe' -L -d sql:"%APPDATA%\Mozilla\Firefox\Profiles\v08trqk6.default-release" -n "Dreamsecurity ROOT CA"
- '%WINDIR%\syswow64\cscript.exe' "%ProgramFiles(x86)%\DreamSecurity\MagicLine4NX\cert\ImportCAtoFirefox.vbs" "MagicLine4NX"
- '%ProgramFiles(x86)%\dreamsecurity\magicline4nx\cert\certutil.exe' -A -n "Dreamsecurity ROOT CA" -i "%ProgramFiles(x86)%\DreamSecurity\MagicLine4NX\cert\dreamsecurity-rootca.der" -t "CT,c,C" -d "%APPDATA%\Mozilla\Firefox\Profiles\m15ucxjx.default"
- '%ProgramFiles(x86)%\dreamsecurity\magicline4nx\cert\certutil.exe' -A -n "Dreamsecurity ROOT CA" -i "%ProgramFiles(x86)%\DreamSecurity\MagicLine4NX\cert\dreamsecurity-rootca.der" -t "CT,c,C" -d sql:"%APPDATA%\Mozilla\Firefox\Profiles\v08trqk6.default-release"
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /f /im NTSMagicLineNP.exe (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' stop MagicLine4NXSVC (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' delete MagicLine4NXSVC (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C taskkill /f /im MagicLine4NX.exe (со скрытым окном)
- '%ProgramFiles(x86)%\dreamsecurity\magicline4nx\cert\certmgr.exe' -add dreamsecurity-rootca.der -c -s -r localMachine Root (со скрытым окном)
- '%WINDIR%\syswow64\cscript.exe' "%ProgramFiles(x86)%\DreamSecurity\MagicLine4NX\cert\ImportCAtoFirefoxCheck.vbs" "MagicLine4NX" (со скрытым окном)
- '%ProgramFiles(x86)%\dreamsecurity\magicline4nx\cert\certutil.exe' -L -d "%APPDATA%\Mozilla\Firefox\Profiles\m15ucxjx.default" -n "Dreamsecurity ROOT CA" (со скрытым окном)
- '%ProgramFiles(x86)%\dreamsecurity\magicline4nx\cert\certutil.exe' -L -d sql:"%APPDATA%\Mozilla\Firefox\Profiles\v08trqk6.default-release" -n "Dreamsecurity ROOT CA" (со скрытым окном)
- '%WINDIR%\syswow64\cscript.exe' "%ProgramFiles(x86)%\DreamSecurity\MagicLine4NX\cert\ImportCAtoFirefox.vbs" "MagicLine4NX" (со скрытым окном)
- '%ProgramFiles(x86)%\dreamsecurity\magicline4nx\cert\certutil.exe' -A -n "Dreamsecurity ROOT CA" -i "%ProgramFiles(x86)%\DreamSecurity\MagicLine4NX\cert\dreamsecurity-rootca.der" -t "CT,c,C" -d "%APPDATA%\Mozilla\Firefox\Profiles\m15ucxjx.default" (со скрытым окном)
- '%ProgramFiles(x86)%\dreamsecurity\magicline4nx\cert\certutil.exe' -A -n "Dreamsecurity ROOT CA" -i "%ProgramFiles(x86)%\DreamSecurity\MagicLine4NX\cert\dreamsecurity-rootca.der" -t "CT,c,C" -d sql:"%APPDATA%\Mozilla\Firefox\Profiles\v08trqk6.default-release" (со скрытым окном)
