Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\Software\WOW6432Node\Microsoft\Windows\CurrentVersion\RunOnce] 'GrpConv' = 'grpconv -o'
- [HKLM\SOFTWARE\WOW6432Node\Microsoft\Windows NT\CurrentVersion\Windows] 'LoadAppInit_DLLs' = '00000001'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows] 'LoadAppInit_DLLs' = '00000001'
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\wlg_Minispy] 'ImagePath' = 'system32\DRIVERS\wlg_minispy.sys'
- [HKLM\SYSTEM\CurrentControlSet\Services\WLG_RCTRL_SERVER] 'ImagePath' = '"%ProgramFiles(x86)%\ClientWlg\rctrl_server.exe" -service'
- [HKLM\SYSTEM\CurrentControlSet\Services\IMHKDrv] 'ImagePath' = '%ProgramFiles(x86)%\ClientWlg\IMHKDrv64.sys'
- [HKLM\SYSTEM\CurrentControlSet\services\IMHKDrv] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\Services\MsStartx] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\Services\MsStartx] 'ImagePath' = '%ProgramFiles(x86)%\ClientWlg\driver\msstartx64.sys'
- [HKLM\SYSTEM\CurrentControlSet\Services\WLG Network Service] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\Services\WLG Network Service] 'ImagePath' = '%WINDIR%\wlg_client_svc.exe'
- [HKLM\SYSTEM\CurrentControlSet\Services\WLGNetLimiter] 'ImagePath' = '%ProgramFiles(x86)%\ClientWlg\driver\netflt64.sys'
- [HKLM\SYSTEM\CurrentControlSet\Services\WPRO_41_1742] 'ImagePath' = 'system32\drivers\WPRO_41_1742.sys'
Создает следующие сервисы
- 'wlg_Minispy' system32\DRIVERS\wlg_minispy.sys
- 'WLG_RCTRL_SERVER' %ProgramFiles(x86)%\ClientWlg ctrl_server.exe" -servic
- 'IMHKDrv' %ProgramFiles(x86)%\ClientWlg\IMHKDrv64.sys
- 'MsStartx' %ProgramFiles(x86)%\ClientWlg\driver\msstartx64.sys
- 'WLG Network Service' %WINDIR%\wlg_client_svc.exe
- 'WLGNetLimiter' %ProgramFiles(x86)%\ClientWlg\driver\netflt64.sys
- 'WPRO_41_1742' system32\drivers\WPRO_41_1742.sys
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
Регистрирует фильтр файловой системы
- [HKLM\SYSTEM\CurrentControlSet\Services\wlg_Minispy] 'Group' = 'FSFilter Activity Monitor'
Изменения в файловой системе
Создает следующие файлы
- %ProgramFiles(x86)%\setup.tmp.tmp
- %CommonProgramFiles(x86)%\system\clientwlg\contact.ini
- %ProgramFiles(x86)%\clientwlg\tmp-929453.z
- %TEMP%\933796.uz
- %ProgramFiles(x86)%\clientwlg\antip.exe
- %ProgramFiles(x86)%\clientwlg\arptable.exe
- %ProgramFiles(x86)%\clientwlg\crashrpt.dll
- %ProgramFiles(x86)%\clientwlg\dev_32.exe
- %ProgramFiles(x86)%\clientwlg\dev_64.exe
- %ProgramFiles(x86)%\clientwlg\driver\msstartx32.sys
- %ProgramFiles(x86)%\clientwlg\driver\msstartx64.sys
- %ProgramFiles(x86)%\clientwlg\driver\netflt32.sys
- %ProgramFiles(x86)%\clientwlg\driver\netflt64.sys
- %ProgramFiles(x86)%\clientwlg\driver\wlgdrv_hook.sys
- %ProgramFiles(x86)%\clientwlg\exeproxy.exe
- %ProgramFiles(x86)%\clientwlg\filter_32\wlg_minispy.inf
- %ProgramFiles(x86)%\clientwlg\filter_32\wlg_minispy.sys
- %ProgramFiles(x86)%\clientwlg\filter_64\wlg_minispy.cat
- %ProgramFiles(x86)%\clientwlg\filter_64\wlg_minispy.inf
- %ProgramFiles(x86)%\clientwlg\filter_64\wlg_minispy.sys
- %ProgramFiles(x86)%\clientwlg\finclean.exe
- %ProgramFiles(x86)%\clientwlg\gdiplus.dll
- %ProgramFiles(x86)%\clientwlg\getpcinfo.exe
- %ProgramFiles(x86)%\clientwlg\gettempdll.dll
- %ProgramFiles(x86)%\clientwlg\killmmc.exe
- %ProgramFiles(x86)%\clientwlg\msg.exe
- %ProgramFiles(x86)%\clientwlg\msstartx32.dll
- %ProgramFiles(x86)%\clientwlg\msstartx64.dll
- %ProgramFiles(x86)%\clientwlg\packet.dll
- %ProgramFiles(x86)%\clientwlg\pcidx.dll
- %ProgramFiles(x86)%\clientwlg\pic.dll
- %ProgramFiles(x86)%\clientwlg\rctrl_server.exe
- %ProgramFiles(x86)%\clientwlg\screenhooks32.dll
- %ProgramFiles(x86)%\clientwlg\secchecking.exe
- %ProgramFiles(x86)%\clientwlg\senddata.exe
- %ProgramFiles(x86)%\clientwlg\tmpdll.dat
- %ProgramFiles(x86)%\clientwlg\valuation.exe
- %ProgramFiles(x86)%\clientwlg\winipcfg.exe
- %ProgramFiles(x86)%\clientwlg\wlgcap.exe
- %ProgramFiles(x86)%\clientwlg\wlgdev.exe
- %ProgramFiles(x86)%\clientwlg\wlgprocess.dll
- %ProgramFiles(x86)%\clientwlg\wlgx.dll
- %ProgramFiles(x86)%\clientwlg\wlg_contact.exe
- %ProgramFiles(x86)%\clientwlg\wlg_ctrl.exe
- %ProgramFiles(x86)%\clientwlg\wlg_filemon32.exe
- %ProgramFiles(x86)%\clientwlg\wlg_filemon64.exe
- %ProgramFiles(x86)%\clientwlg\wlg_keep.exe
- %ProgramFiles(x86)%\clientwlg\wlg_netmon.exe
- %ProgramFiles(x86)%\clientwlg\wlg_pj.exe
- %ProgramFiles(x86)%\clientwlg\wlg_rcap.exe
- %ProgramFiles(x86)%\clientwlg\zlib.dll
- %ProgramFiles(x86)%\clientwlg\prrocess.dat
- %ProgramFiles(x86)%\clientwlg\spy9.map
- %ProgramFiles(x86)%\clientwlg\history_data\skype_data.ini
- %WINDIR%\syswow64\drivers\set5ed5.tmp
- %ProgramFiles(x86)%\clientwlg\imhkcore.dll
- %ProgramFiles(x86)%\clientwlg\imhkdrvsdk.dll
- %ProgramFiles(x86)%\clientwlg\imhksdk.dll
- %ProgramFiles(x86)%\clientwlg\imhkdrv64.sys
- %ProgramFiles(x86)%\clientwlg\imhkdrv86.sys
- %ProgramFiles(x86)%\clientwlg\caplog\history.map
- %ProgramFiles(x86)%\clientwlg\contact.ini
- <SYSTEM32>\msstartx.dll
- <SYSTEM32>\secchecking.exe
- %WINDIR%\wlg_client_svc.exe
- %ProgramFiles(x86)%\clientwlg\tmp\hideprocess32.dll
- %ProgramFiles(x86)%\clientwlg\tmp\hideprocess64.dll
- %ProgramFiles(x86)%\clientwlg\tmp\xmail32.dll
- %ProgramFiles(x86)%\clientwlg\tmp\xmail64.dll
- %ProgramFiles(x86)%\clientwlg\tmp\msappcall32.dll
- %ProgramFiles(x86)%\clientwlg\process.map
- <DRIVERS>\wlgnetflt.sys
- <DRIVERS>\wlg_minispy.sys
- %WINDIR%\syswow64\wpro_41_1742woem.tmp
- <DRIVERS>\wpro_41_1742.sys
- %LOCALAPPDATA%\microsoft\windows\actioncentercache\windows-systemtoast-securityandmaintenance_10_0.png
- %ProgramFiles(x86)%\clientwlg\title.map
- global\wpro_41_1742_{3249c40b-8701-4dc4-84d3-22b32685cf3b}
Присваивает атрибут 'скрытый' для следующих файлов
- %ProgramFiles(x86)%\setup.tmp.tmp
Удаляет файлы, которые сам же создал
- %TEMP%\933796.uz
- %ProgramFiles(x86)%\clientwlg\tmp-929453.z
- %ProgramFiles(x86)%\clientwlg\wlg_filemon32.exe
- <DRIVERS>\wpro_41_1742.sys
Перемещает следующие файлы
- %ProgramFiles(x86)%\clientwlg\wlg_filemon64.exe в %ProgramFiles(x86)%\clientwlg\wlg_filemon.exe
- %ProgramFiles(x86)%\clientwlg\wlg_filemon.exe в %ProgramFiles(x86)%\clientwlg\wlg_filemon.exe
- %ProgramFiles(x86)%\clientwlg\wlg_ctrl.exe в %ProgramFiles(x86)%\clientwlg\wlg_ctrl.exe
- %ProgramFiles(x86)%\clientwlg\wlg_netmon.exe в %ProgramFiles(x86)%\clientwlg\wlg_netmon.exe
- %ProgramFiles(x86)%\clientwlg\wlg_contact.exe в %ProgramFiles(x86)%\clientwlg\wlg_contact.exe
- %ProgramFiles(x86)%\clientwlg\wlg_keep.exe в %ProgramFiles(x86)%\clientwlg\wlg_keep.exe
- %WINDIR%\syswow64\drivers\set5ed5.tmp в %WINDIR%\syswow64\drivers\wlg_minispy.sys
Изменяет следующие файлы
- %LOCALAPPDATA%\microsoft\windows\explorer\explorerstartuplog_runonce.etl
Сетевая активность
Подключается к
- 'ba##u.com':80
- 'microsoft.com':80
TCP
Запросы HTTP GET
- http://www.ba##u.com/
- http://www.microsoft.com/
UDP
- DNS ASK ba##u.com
- DNS ASK microsoft.com
- '20#.#24.134.124':9939
- '20#.#1.134.11':9939
Другое
Создает и запускает на исполнение
- '%ProgramFiles(x86)%\clientwlg\wlg_contact.exe'
- '%ProgramFiles(x86)%\clientwlg\getpcinfo.exe'
- '%WINDIR%\wlg_client_svc.exe'
- '%ProgramFiles(x86)%\clientwlg\exeproxy.exe' wlg_filemon.exe 0
- '%ProgramFiles(x86)%\clientwlg\exeproxy.exe' wlg_netmon.exe 0
- '%ProgramFiles(x86)%\clientwlg\wlg_filemon.exe'
- '%ProgramFiles(x86)%\clientwlg\wlg_netmon.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\rundll32.exe' setupapi,InstallHinfSection DefaultInstall 132 .\filter_64\wlg_minispy.inf (со скрытым окном)
- '%WINDIR%\syswow64\runonce.exe' -r
- '%WINDIR%\syswow64\grpconv.exe' -o
- '<SYSTEM32>\svchost.exe' -k LocalSystemNetworkRestricted -p
- '%ProgramFiles(x86)%\clientwlg\getpcinfo.exe' (со скрытым окном)
- '%ProgramFiles(x86)%\clientwlg\exeproxy.exe' wlg_filemon.exe 0 (со скрытым окном)
- '%ProgramFiles(x86)%\clientwlg\exeproxy.exe' wlg_netmon.exe 0 (со скрытым окном)
