Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'BlueSoft' = '%PROGRAM_FILES%\BlueSoft\BlueSoft.exe silent'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Brmas] 'Start' = '00000001'
Вредоносные функции:
Создает и запускает на исполнение:
- '%PROGRAM_FILES%\Brmas\bin\Brmas.exe'
- '%APPDATA%\BlueSoft\C86DA4AD-186C-4dc2-A540-02E7B075F714\blueview_silent[bsayid].exe' /norestart
- '%APPDATA%\BlueSoft\C86DA4AD-186C-4dc2-A540-02E7B075F714\brmas_pc[bsayid].exe'
- '%WINDIR%\Temp\bluesoft_gho_bsayid_inst.exe'
- '%PROGRAM_FILES%\BlueSoft\BlueSoft.exe' autoinstall
- '%APPDATA%\BlueSoft\C86DA4AD-186C-4dc2-A540-02E7B075F714\blueview_silent[bsayid].exe' (загружен из сети Интернет)
Перехватывает следующие функции в SSDT (System Service Descriptor Table):
- NtQuerySystemInformation, драйвер-обработчик: Brmas.sys
- NtQueryInformationProcess, драйвер-обработчик: Brmas.sys
- NtOpenProcess, драйвер-обработчик: Brmas.sys
- NtSetValueKey, драйвер-обработчик: Brmas.sys
- NtReadFile, драйвер-обработчик: Brmas.sys
- NtQueryValueKey, драйвер-обработчик: Brmas.sys
- NtDeleteValueKey, драйвер-обработчик: Brmas.sys
- NtDeleteKey, драйвер-обработчик: Brmas.sys
- NtCreateKey, драйвер-обработчик: Brmas.sys
- NtOpenKey, драйвер-обработчик: Brmas.sys
- NtEnumerateValueKey, драйвер-обработчик: Brmas.sys
- NtEnumerateKey, драйвер-обработчик: Brmas.sys
Изменения в файловой системе:
Создает следующие файлы:
- %PROGRAM_FILES%\Brmas\bin\iexplore.lnk
- %HOMEPATH%\Start Menu\Programs\浏览器修复大师\卸载 浏览器修复大师.lnk
- %HOMEPATH%\Start Menu\Programs\浏览器修复大师\浏览器修复大师.lnk
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\2BF68F4714092295550497DD56F57004
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\2BF68F4714092295550497DD56F57004
- %PROGRAM_FILES%\Brmas\bin\ProtConfig.dat
- %PROGRAM_FILES%\Brmas\setting.ini
- %PROGRAM_FILES%\Brmas\bin\brmas\db0.brmas
- %PROGRAM_FILES%\Brmas\bin\stat.dll
- %PROGRAM_FILES%\Brmas\bin\BrowserMgr.dll
- %PROGRAM_FILES%\Brmas\bin\uninst.exe
- %PROGRAM_FILES%\Brmas\bin\brmas\db3.brmas
- %PROGRAM_FILES%\Brmas\bin\brmas\db1.brmas
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\update.safe.my.iedun[1].7889&mac_add=00-00-00-00-00-01&hid=11000000000000000001&locked=no&url=&md5=ec66584feea538eb13d0f80a74cff3df&rand=220703
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\install[1].7889&mac_add=00-00-00-00-00-01&hid=11000000000000000001&md5=ec66584feea538eb13d0f80a74cff3df&rand=218625
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\updateset[1].7889
- %APPDATA%\BlueSoft\C86DA4AD-186C-4dc2-A540-02E7B075F714\blueview_silent[bsayid].exe
- %PROGRAM_FILES%\Brmas\bin\brmas\db4.brmas
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\fav[1].7889&fav_update_time=&hid=11000000000000000001&rand=222375
- %PROGRAM_FILES%\Brmas\bin\brmas\db2.brmas
- %TEMP%\Cab8.tmp
- %TEMP%\Cab6.tmp
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\94308059B57B3142E455B38A6EB92015
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\iecafe[1].7889
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\homepageset[1].7889
- %TEMP%\CabA.tmp
- %PROGRAM_FILES%\Brmas\bin\Brmas.dll
- %APPDATA%\BlueSoft\ExeIcon\blueview.ico
- %APPDATA%\BlueSoft\ExeIcon\baidu.ico
- %APPDATA%\BlueSoft\C86DA4AD-186C-4dc2-A540-02E7B075F714\brmas_pc.exe
- %APPDATA%\BlueSoft\ExeIcon\jingdong.ico
- %APPDATA%\BlueSoft\ExeIcon\hao123.ico
- %APPDATA%\BlueSoft\ExeIcon\brmas.ico
- %APPDATA%\BlueSoft\C86DA4AD-186C-4dc2-A540-02E7B075F714\blueview_silent.exe
- %TEMP%\nsf2.tmp\ioSpecial.ini
- %TEMP%\nsf2.tmp\System.dll
- %WINDIR%\Temp\bluesoft_gho_bsayid_inst.exe
- %APPDATA%\BlueSoft\softlist.xml
- %PROGRAM_FILES%\BlueSoft\BlueSoft.exe
- %TEMP%\nsf2.tmp\modern-wizard.bmp
- %APPDATA%\BlueSoft\ExeIcon\taobao.ico
- %TEMP%\nsp5.tmp\System.dll
- %TEMP%\CheckList.dll
- %APPDATA%\BlueSoft\UpdateSet.xml
- %PROGRAM_FILES%\Brmas\bin\Brmas.sys
- %PROGRAM_FILES%\Brmas\bin\Brmas.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\update.u.gsie[1].1&softid=0&hid=11000000000000000001&macadd=00-00-00-00-00-01&md5=4273f608373eeb68f61e32e0a463ad5c&rand=195046
- %ALLUSERSPROFILE%\Start Menu\Programs\А¶№вИнјюѕ«СЎ\А¶№вИнјюѕ«СЎ.lnk
- %APPDATA%\BlueSoft\setting.ini
- %PROGRAM_FILES%\BlueSoft\Uninstall.exe
- %TEMP%\nso4.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\install[1].1&softid=0&hid=11000000000000000001&macadd=00-00-00-00-00-01&md5=4273f608373eeb68f61e32e0a463ad5c&rand=189546
- %ALLUSERSPROFILE%\Start Menu\Programs\А¶№вИнјюѕ«СЎ\Р¶ФШ А¶№вИнјюѕ«СЎ.lnk
Удаляет следующие файлы:
- %TEMP%\Cab6.tmp
- %TEMP%\nsp5.tmp\System.dll
- %TEMP%\CabA.tmp
- %TEMP%\Cab8.tmp
- %TEMP%\nsf2.tmp\modern-wizard.bmp
- %TEMP%\nsf2.tmp\ioSpecial.ini
- %TEMP%\CheckList.dll
- %TEMP%\nsf2.tmp\System.dll
Перемещает следующие файлы:
- %APPDATA%\BlueSoft\C86DA4AD-186C-4dc2-A540-02E7B075F714\brmas_pc.exe в %APPDATA%\BlueSoft\C86DA4AD-186C-4dc2-A540-02E7B075F714\brmas_pc[bsayid].exe
- %APPDATA%\BlueSoft\C86DA4AD-186C-4dc2-A540-02E7B075F714\blueview_silent.exe в %APPDATA%\BlueSoft\C86DA4AD-186C-4dc2-A540-02E7B075F714\blueview_silent[bsayid].exe
Сетевая активность:
Подключается к:
- 'www.download.windowsupdate.com':80
- 'localhost':1046
- 'www.ib###view.com':80
- 'up####.safe.my.iedun.cn':80
- 'localhost':1042
- '12#.#25.114.144':80
- 'wp#d':80
- 'up####.u.gsie.cn':80
TCP:
Запросы HTTP GET:
- up####.safe.my.iedun.cn/install/?us###############################################################################################################################
- up####.safe.my.iedun.cn/home1/updateset/updateset/?co########################
- up####.safe.my.iedun.cn/home1/iecafe/iecafe/?co########################
- www.ib###view.com/corp/blueview_bs.exe
- up####.safe.my.iedun.cn/home1/fav/?us###############################################################################################################
- up####.safe.my.iedun.cn/?us##############################################################################################################################################
- wp#d/wpad.dat
- up####.u.gsie.cn/?ve########################################################################################################################################
- up####.u.gsie.cn/install/?ve########################################################################################################################################
- up####.safe.my.iedun.cn/home1/homepageset/?co########################
- www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab
- www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt
UDP:
- DNS ASK up####.safe.my.iedun.cn
- DNS ASK www.ib###view.com
- DNS ASK sa##.#y.iedun.cn
- DNS ASK www.download.windowsupdate.com
- DNS ASK www.ba##u.com
- DNS ASK up####.u.gsie.cn
- DNS ASK wp#d
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: '85AD02CF-F95D-4f2c-8BCA-BDA546A35E63' WindowName: '(null)'
- ClassName: 'BlueSoft_MainWnd' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
