Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'GrpConv' = 'grpconv -o'
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\zfhookupdat] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\Services\zfhookupdat] 'ImagePath' = '"%ProgramFiles%\ZfHookProject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\HookEx\x86\zfhookupdat.exe"'
- [HKLM\SYSTEM\CurrentControlSet\Services\zfprotect] 'ImagePath' = 'system32\DRIVERS\zfprotect64.sys'
Создает следующие сервисы
- 'zfhookupdat' %ProgramFiles%\ZfHookProject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\HookEx\zfhookupdat.exe
- 'zfhookupdat' %ProgramFiles%\ZfHookProject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\HookEx\x86\zfhookupdat.exe
- 'zfprotect' system32\DRIVERS\zfprotect64.sys
Вредоносные функции
Регистрирует фильтр файловой системы
- [HKLM\SYSTEM\CurrentControlSet\Services\zfprotect] 'Group' = 'FSFilter Top'
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\nswcd25.tmp
- %TEMP%\nswcd36.tmp\system.dll
- %TEMP%\nshce02.tmp\installhlpr.dll
- %TEMP%\nshce02.tmp\kernelstubdll.dll
- %TEMP%\nshce02.tmp\zfhookctrlex.dll
- %CommonProgramFiles(x86)%\zfhookproject\zfhesm.dll
- %CommonProgramFiles(x86)%\zfhookproject\zfhesc.dll
- %CommonProgramFiles(x86)%\zfhookproject\zfhookmon.exe
- %ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\x86\zhp.exe
- %ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\x86\defpolicy.cfg
- %ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\x86\dumper32.dll
- %ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\x86\zfhookwinhook.dll
- %ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\x86\zfhookpluginloader.dll
- %ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\x86\zfhookeng.dll
- %ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\x86\zfhooksendfileplugin.dll
- %ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\x86\zfhookprintctrlplugin.dll
- %ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\x86\zfhooksfdlpplugin.dll
- %ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\x86\zfhookuiaplugin.dll
- %ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\x86\zfhookunitedplugin.dll
- %ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\x86\kernelstubdll.dll
- %ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\x86\zfhookctrl.dll
- %ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\x86\zfhookctrlex.dll
- %ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\x86\zfhookcomm.dll
- %ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\x86\tiny_pipe_server.dll
- %ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\x86\zfhookctrlext.dll
- %ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\x86\7za.exe
- %ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\x86\zfhookupdat.exe
- %ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\policy\hookproject_defalut.zfpy-journal
- %ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\policy\hookproject_defalut.zfpy
- %ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\unins000.exe
- %ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\installhlpr.dll
- %ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\uninstall.exe
- %ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\x64\dumper64.dll
- %ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\x64\zfhookwinhook.dll
- %ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\x64\zfhookpluginloader.dll
- %ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\x64\zfhookeng.dll
- %ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\x64\zfhookprintctrlplugin.dll
- %ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\x64\zfhooksendfileplugin.dll
- %ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\x64\zfhooksfdlpplugin.dll
- %ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\x64\zfhookunitedplugin.dll
- %ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\x64\zhp.exe
- %ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\drv\zfprotect64.sys
- %ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\drv\zfprotect64.inf
- %ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\drv\hkcore32.dll
- %ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\drv\inject32.dll
- %ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\drv\zfpcache32.dll
- %ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\drv\ffdasdbg.7z
- %ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\drv\dumper.exe
- %ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\drv\hkcore64.dll
- %ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\drv\inject64.dll
- %ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\drv\filemon.json
- %ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\drv\zfpcfg.json
- %ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\drv\injectcfg1.json
- %ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\drv\injectcfg2.json
- %ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\drv\zfpuser32.dll
- <DRIVERS>\setf4ff.tmp
- %ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\drv_wall\drvuser32.dll
- %ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\drv_wall\zfnetwall64.sys
- %ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\drv_wall\zfwalluser32.dll
Удаляет файлы, которые сам же создал
- %ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\policy\hookproject_defalut.zfpy-journal
- %TEMP%\nshce02.tmp\installhlpr.dll
- %TEMP%\nshce02.tmp\kernelstubdll.dll
- %TEMP%\nshce02.tmp\zfhookctrlex.dll
- %TEMP%\nswcd36.tmp\system.dll
Перемещает следующие файлы
- <DRIVERS>\setf4ff.tmp в <DRIVERS>\zfprotect64.sys
Изменяет следующие файлы
- %LOCALAPPDATA%\microsoft\windows\explorer\explorerstartuplog_runonce.etl
Подменяет следующие файлы
- %ProgramFiles%\zfhookproject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\hookex\policy\hookproject_defalut.zfpy-journal
Другое
Запускает на исполнение
- '<SYSTEM32>\rundll32.exe' SETUPAPI.DLL,InstallHinfSection DefaultInstall 128 %ProgramFiles%\ZfHookProject-b4f7889b-2733-4ebd-a8a7-3703572e0ff9\HookEx\drv\zfprotect64.inf (со скрытым окном)
- '<SYSTEM32>\runonce.exe' -r
- '<SYSTEM32>\grpconv.exe' -o
