Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'BarClient.exe' = 'c:\BarClient\BarClient.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- 'C:\BarClient\BarClient.exe'
Запускает на исполнение:
- '<SYSTEM32>\attrib.exe' +s +h C:\BarClient\corefile\core\ICONTask.dll
- '<SYSTEM32>\cacls.exe' C:\BarClient\corefile\core\ICONTask.dll /d everyone
- '<SYSTEM32>\attrib.exe' +s +h C:\BarClient\corefile\core\kIconLib.dll
- '<SYSTEM32>\cacls.exe' C:\BarClient\corefile\core\IESBox0518.dll /d everyone
- '<SYSTEM32>\cacls.exe' <SYSTEM32>\sewrviec.exe /d everyone
- '<SYSTEM32>\cacls.exe' <SYSTEM32>\uasnk.dll /d everyone
- '<SYSTEM32>\attrib.exe' +s +h C:\BarClient\corefile\core\IESBox0518.dll
- '<SYSTEM32>\cacls.exe' C:\BarClient\corefile\core\kIconLib.dll /d everyone
- '<SYSTEM32>\regsvr32.exe' /u /s"c:\BarClient\apach.dll"
- '<SYSTEM32>\regsvr32.exe' /s "c:\BarClient\apach.dll"
- '<SYSTEM32>\regsvr32.exe' /s "%WINDIR%\system\bhomemvs.dll"
- '<SYSTEM32>\ping.exe' 127.0.0.1 -n 6
- '<SYSTEM32>\taskkill.exe' /f /im "Barclient.exe"
- '<SYSTEM32>\taskkill.exe' /f /im "BCIpFilter.exe"
- '<SYSTEM32>\taskkill.exe' /i /im %TEMP%\*.*
- '<SYSTEM32>\cacls.exe' <SYSTEM32>\iPush.Dll /d everyone
- '<SYSTEM32>\cacls.exe' %TEMP%\filter.dll /d everyone
- '<SYSTEM32>\cacls.exe' %TEMP%\wipush.dll /d everyone
- '<SYSTEM32>\cacls.exe' %TEMP%\urlScan.dll /d everyone
- '<SYSTEM32>\cacls.exe' %TEMP%\3QYXxOw5fTF4mV.dll /d everyone
- '<SYSTEM32>\wscript.exe' "c:\BarClient\Run.vbs"
- '<SYSTEM32>\cacls.exe' "<LS_APPDATA>\Microsoft\Internet Explorer\MSIMGSIZ.DAT" /d everyone
- '<SYSTEM32>\cacls.exe' %TEMP%\scad.dll /d everyone
- '<SYSTEM32>\cacls.exe' %TEMP%\wdres.dll /d everyone
- '<SYSTEM32>\cacls.exe' <SYSTEM32>\urlScan.dll /d everyone
- '<SYSTEM32>\cacls.exe' <SYSTEM32>\bhomemvs.dll /d everyone
- '<SYSTEM32>\cacls.exe' <SYSTEM32>\change.dll /d everyone
- '<SYSTEM32>\cacls.exe' <SYSTEM32>\MsPage.dll /d everyone
- '<SYSTEM32>\cacls.exe' <SYSTEM32>\scad.dll /d everyone
- '<SYSTEM32>\cacls.exe' %WINDIR%\system\bhomemvs.dll /d everyone
- '<SYSTEM32>\cacls.exe' <SYSTEM32>\apach.dll /d everyone
Изменения в файловой системе:
Создает следующие файлы:
- C:\BarClient\bcupdate.exe
- C:\BarClient\IntegrityCheck.dll
- C:\BarClient\corefile\core\Lock.dll
- C:\BarClient\uasnk.dll
- C:\BarClient\apach.dll
- C:\BarClient\corefile\temp\CreateTempFile.txt
- C:\BarClient\corefile\core\CreateTempFile.txt
- C:\BarClient\corefile\CreateTempFile.txt
- C:\BarClient\corefile\rar\CreateTempFile.txt
- C:\BarClient\mshtmdll\Microsoft.mshtml.dll
- C:\BarClient\run.bat
- C:\BarClient\Sdp.InterfaceFrame.Common.dll
- C:\BarClient\BarClient.exe
- C:\BarClient\Run.vbs
- C:\BarClient\Interop.SHDocVw.dll
- C:\BarClient\xieyi.rtf
- C:\BarClient\Microsoft.mshtml.rar
- C:\BarClient\Unrar.dll
- C:\BarClient\Interop.IWshRuntimeLibrary.dll
Удаляет следующие файлы:
- C:\BarClient\corefile\temp\CreateTempFile.txt
- C:\BarClient\corefile\core\CreateTempFile.txt
- C:\BarClient\corefile\rar\CreateTempFile.txt
- C:\BarClient\Microsoft.mshtml.rar
- C:\BarClient\corefile\CreateTempFile.txt
Перемещает следующие файлы:
- C:\BarClient\mshtmdll\Microsoft.mshtml.dll в C:\BarClient\Microsoft.mshtml.dll
Сетевая активность:
UDP:
- '25#.#55.255.255':9050
Другое:
Ищет следующие окна:
- ClassName: '(null)' WindowName: '(null)'
- ClassName: '(null)' WindowName: 'ZJBARCLIENTCCLIGHTBJ'
- ClassName: 'EDIT' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
