Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\goodbyedpiservice.exe.lnk
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\GoodbyeDPI_Default] 'Start' = '00000002'
- [HKLM\System\CurrentControlSet\Services\GoodbyeDPI_Default] 'ImagePath' = '"C:\ByeByeDPI\x86_64\goodbyedpi.exe" -9 --blacklist "C:\ByeByeDPI\russia-blacklist.txt" --blacklist "C:\ByeByeDPI\russ...
- [HKLM\System\CurrentControlSet\Services\WinDivert] 'ImagePath' = 'C:\ByeByeDPI\x86_64\WinDivert64.sys'
- [HKLM\System\CurrentControlSet\Services\GoodbyeDPI_Aggressive] 'ImagePath' = '"C:\ByeByeDPI\x86_64\goodbyedpi.exe" -p -r -s -q -f 2 -k 2 -n -e 2 -f 2 -e 2 --wrong-seq --wrong-chksum --reverse-f...
Создает следующие сервисы
- 'GoodbyeDPI_Default' "C:\ByeByeDPI\x86_64\goodbyedpi.exe" -9 --blacklist "C:\ByeByeDPI\russia-blacklist.txt" --blacklist "C:\ByeByeDPI\russia-youtube.txt"
- 'WinDivert' C:\ByeByeDPI\x86_64\WinDivert64.sys
- 'GoodbyeDPI_Aggressive' "C:\ByeByeDPI\x86_64\goodbyedpi.exe" -p -r -s -q -f 2 -k 2 -n -e 2 -f 2 -e 2 --wrong-seq --wrong-chksum --reverse-frag --max-payload --blacklist "C:\ByeByeDPI\russia-blacklist.txt" --blacklist ...
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /f /im GoodByeDPIService.exe
Изменения в файловой системе
Создает следующие файлы
- C:\byebyedpi\goodbyedpiservice.exe
- C:\byebyedpi\service_install_russia_blacklist_dnsredir.cmd
- C:\byebyedpi\service_install_russia_blacklist_default.cmd
- C:\byebyedpi\service_install_russia_blacklist_aggressive.cmd
- C:\byebyedpi\russia-youtube.txt
- C:\byebyedpi\russia-blacklist.txt
- C:\byebyedpi\2_any_country_dnsredir.cmd
- C:\byebyedpi\2_any_country.cmd
- C:\byebyedpi\1_default_dnsredir.cmd
- C:\byebyedpi\1_default.cmd
- C:\byebyedpi\1_aggressive.cmd
- C:\byebyedpi\0_russia_update_blacklist_file.cmd
- C:\byebyedpi\x86_64\windivert64.sys
- C:\byebyedpi\x86_64\windivert.dll
- C:\byebyedpi\x86_64\goodbyedpi.exe
- C:\byebyedpi\x86\windivert64.sys
- C:\byebyedpi\x86\windivert32.sys
- C:\byebyedpi\x86\windivert.dll
- C:\byebyedpi\x86\goodbyedpi.exe
- C:\byebyedpi\licenses\license-windivert.txt
- C:\byebyedpi\licenses\license-uthash.txt
- C:\byebyedpi\licenses\license-goodbyedpi.txt
- C:\byebyedpi\licenses\license-getline.txt
- C:\byebyedpi\hosts.txt
- C:\byebyedpi\install.cmd
- C:\byebyedpi\_readme.txt
- C:\byebyedpi\service_remove.cmd
- C:\byebyedpi\hosts.acl
Удаляет следующие файлы
- C:\byebyedpi\hosts.acl
Изменяет файл HOSTS.
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- 'C:\byebyedpi\x86_64\goodbyedpi.exe' -9 --blacklist "C:\ByeByeDPI\russia-blacklist.txt" --blacklist "C:\ByeByeDPI\russia-youtube.txt"
- 'C:\byebyedpi\goodbyedpiservice.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\ByeByeDPI\install.cmd" "
- '%WINDIR%\syswow64\sc.exe' delete "GoodbyeDPI_Aggressive"
- '%WINDIR%\syswow64\sc.exe' stop "GoodbyeDPI_Aggressive"
- '%WINDIR%\syswow64\sc.exe' start "GoodbyeDPI_Default"
- '%WINDIR%\syswow64\sc.exe' description "GoodbyeDPI_Default" "Passive Deep Packet Inspection blocker and Active DPI circumvention utility (Default mode)"
- '%WINDIR%\syswow64\sc.exe' create "GoodbyeDPI_Default" binPath= "\"C:\ByeByeDPI\x86_64\goodbyedpi.exe\" -9 --blacklist \"C:\ByeByeDPI\russia-blacklist.txt\" --blacklist \"C:\ByeByeDPI\russia-youtube.txt\"" start= "auto"
- '%WINDIR%\syswow64\sc.exe' delete "GoodbyeDPI_Default"
- '%WINDIR%\syswow64\sc.exe' stop "GoodbyeDPI_Default"
- '%WINDIR%\syswow64\sc.exe' delete "GoodbyeDPI"
- '%WINDIR%\syswow64\sc.exe' stop "GoodbyeDPI"
- '%WINDIR%\syswow64\icacls.exe' "<DRIVERS>\etc" /restore hosts.acl
- '%WINDIR%\syswow64\attrib.exe' +r "<DRIVERS>\etc\hosts"
- '%WINDIR%\syswow64\attrib.exe' -r -h -s "<DRIVERS>\etc\hosts"
- '%WINDIR%\syswow64\icacls.exe' "<DRIVERS>\etc\hosts" /reset
- '%WINDIR%\syswow64\takeown.exe' /a /f "<DRIVERS>\etc\hosts"
- '%WINDIR%\syswow64\icacls.exe' "<DRIVERS>\etc\hosts" /save hosts.acl
- '%WINDIR%\syswow64\sc.exe' create "GoodbyeDPI_Aggressive" binPath= "\"C:\ByeByeDPI\x86_64\goodbyedpi.exe\" -p -r -s -q -f 2 -k 2 -n -e 2 -f 2 -e 2 --wrong-seq --wrong-chksum --reverse-frag --max-payload --blacklist \"C:\...
- '%WINDIR%\syswow64\sc.exe' description "GoodbyeDPI_Aggressive" "Passive Deep Packet Inspection blocker and Active DPI circumvention utility (Aggressive mode)"
