Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'zsknpctbhe' = '%APPDATA%\Microsoft\dwi.vbs'
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\svchost.exe
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\bittorrent.exe
- %APPDATA%\microsoft\dwi.vbs
- %TEMP%\utt9cf.tmp
- %WINDIR%\syswow64\grouppolicy\gpt.ini
- <SYSTEM32>\grouppolicy\machine\registry.pol
- <SYSTEM32>\grouppolicy\gpt.ini
- <SYSTEM32>\grouppolicy\user\registry.pol
- %APPDATA%\microsoft\crypto\rsa\s-1-5-21-4226853953-3309226944-3078887307-1000\9d1627c087e30ee6fe8c9cce3c77e841_8cf7b530-613e-439b-a8c5-ccfc0e745400
- %APPDATA%\bittorrent\settings.dat.new
- %TEMP%\hyd129a.tmp.1772050521\index.hta.log
- %APPDATA%\bittorrent\updates\7.9.3_40299.exe
- %APPDATA%\bittorrent\updates.dat
- %APPDATA%\bittorrent\toolbar_offer.benc
- %TEMP%\utt22a9.tmp
- %TEMP%\utt27ab.tmp.new
- %APPDATA%\bittorrent\toolbar.benc.new
- %APPDATA%\kstumsfgxg.bat
Удаляет файлы, которые сам же создал
- %TEMP%\utt9cf.tmp
Перемещает следующие файлы
- %APPDATA%\bittorrent\settings.dat.new в %APPDATA%\bittorrent\settings.dat
- %APPDATA%\bittorrent\settings.dat в %APPDATA%\bittorrent\settings.dat.old
- %TEMP%\utt27ab.tmp.new в %TEMP%\utt27ab.tmp
- %APPDATA%\bittorrent\toolbar.benc.new в %APPDATA%\bittorrent\toolbar.benc
Подменяет следующие файлы
- %APPDATA%\bittorrent\settings.dat.new
- %APPDATA%\bittorrent\settings.dat
Сетевая активность
Подключается к
- 'be###.utorrent.com':80
- 'do######-lb.utorrent.com':80
- 'i-##.#####99.bt.bench.utorrent.com':80
- 'up####.utorrent.com':80
- 'up####.utorrent.li':80
- 'll.#####oad3.utorrent.com':80
TCP
Запросы HTTP GET
- http://do######-lb.utorrent.com/endpoint/hydra-bt/os/win/track/stable/cc-tag/121/browser/internet explorer/os-region/US/os-lang/en/os-ver/6.2/enc-ver/254254443/
- http://up####.utorrent.li/installstats.php?cl####################################################################################################################################################...
- http://up####.utorrent.li/updatestats.php?cl#####################################################################################################################################################...
Запросы HTTP POST
- http://i-##.#####99.bt.bench.utorrent.com/e?i=##
UDP
- DNS ASK ro####.bittorrent.com
- DNS ASK ro####.utorrent.com
- DNS ASK be###.utorrent.com
- DNS ASK do######-lb.utorrent.com
- DNS ASK i-##.#####99.bt.bench.utorrent.com
- DNS ASK up####.utorrent.com
- DNS ASK up####.utorrent.li
- DNS ASK ap#.##encandy.com
- DNS ASK ll.#####oad3.utorrent.com
- DNS ASK go#####ervice.no-ip.org
Другое
Ищет следующие окна
- ClassName: 'BT4823DF041B09' WindowName: ''
- ClassName: '995D92B2-4ED9-43A7-9338-8CC7D1746F96' WindowName: ''
Создает и запускает на исполнение
- '%APPDATA%\bittorrent.exe'
- '%WINDIR%\syswow64\wscript.exe' "%APPDATA%\Microsoft\dwi.vbs"
Запускает на исполнение
- '%WINDIR%\syswow64\svchost.exe'
- '<SYSTEM32>\svchost.exe' -k LocalSystemNetworkRestricted -s WPDBusEnum
- '<SYSTEM32>\svchost.exe' -k LocalSystemNetworkRestricted -p -s fhsvc
- '%WINDIR%\syswow64\rundll32.exe' "%TEMP%\utt22A9.tmp",_OCPRD119RunOpenCandyDLL@16 1488 (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""%APPDATA%\kstumsfgxg.bat" " (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' ADD HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce /v zsknpctbhe /d "%APPDATA%\Microsoft\dwi.vbs"
