Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\NTBOOT] 'Start' = '00000002'
- [<HKLM>\SYSTEM\ControlSet001\Services\NTSVCMGR] 'Start' = '00000002'
- [<HKLM>\SYSTEM\ControlSet001\Services\NTLOAD] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '%WINDIR%\system\DRIVER\ntsrv.exe' /name:"NTSVCMGR" /start:"%WINDIR%\system\driver\services.exe %WINDIR%\system\driver\ntauth.dll"
- '%WINDIR%\system\DRIVER\csrss.exe'
- '%WINDIR%\system\DRIVER\ntsrv.exe' /name:"NTLOAD" /start:"%WINDIR%\system\driver\csrss.exe"
- '%WINDIR%\system\DRIVER\ntuser.exe'
- '%WINDIR%\system\DRIVER\services.exe'
- '%WINDIR%\system\DRIVER\services.exe' %WINDIR%\system\driver\ntauth.dll
- '%WINDIR%\system\DRIVER\ntuser.exe' -install
- '%WINDIR%\system\DRIVER\ntsrv.exe' -install -name:"NTLOAD" -launch:"%WINDIR%\system\driver\csrss.exe"
- '%WINDIR%\system\DRIVER\h.exe' ntsrv -install -name:"NTLOAD" -launch:"%WINDIR%\system\driver\csrss.exe"
- '%WINDIR%\system\DRIVER\h.exe' setup.bat
- '%WINDIR%\system\DRIVER\h.exe' ntuser.exe -install
- '%WINDIR%\system\DRIVER\ntsrv.exe' -install -name:"NTSVCMGR" -launch:"%WINDIR%\system\driver\services.exe %WINDIR%\system\driver\ntauth.dll"
- '%WINDIR%\system\DRIVER\h.exe' ntsrv -install -name:"NTSVCMGR" -launch:"%WINDIR%\system\driver\services.exe %WINDIR%\system\driver\ntauth.dll"
Запускает на исполнение:
- '<SYSTEM32>\attrib.exe' +R +S +H servicesmgr.dll
- '<SYSTEM32>\attrib.exe' +R +S +H ssleay32.dll
- '<SYSTEM32>\attrib.exe' +R +S +H services.exe
- '<SYSTEM32>\attrib.exe' +R +S +H servicelogon.dll
- '<SYSTEM32>\attrib.exe' +R +S +H servicent.dll
- '<SYSTEM32>\attrib.exe' +R +S +H svchostlogon.dll
- '<SYSTEM32>\attrib.exe' +R +S +H %WINDIR%\system\driver\DAP\LOG
- '<SYSTEM32>\attrib.exe' +R +S +H %WINDIR%\system\driver\DAP\NTLOG
- '<SYSTEM32>\attrib.exe' +R +S +H %WINDIR%\system\driver\DAP
- '<SYSTEM32>\attrib.exe' +R +S +H winlogon.dll
- '<SYSTEM32>\attrib.exe' +R +S +H %WINDIR%\system\driver
- '<SYSTEM32>\attrib.exe' +R +S +H ntuser.exe
- '<SYSTEM32>\net1.exe' start NTBOOTMGR
- '<SYSTEM32>\attrib.exe' +R +S +H csrss.exe
- '<SYSTEM32>\net1.exe' start NTSVCMGR
- '<SYSTEM32>\cmd.exe' /c setup.bat
- '<SYSTEM32>\net1.exe' start NTLOAD
- '<SYSTEM32>\attrib.exe' +R +S +H cygcrypt-0.dll
- '<SYSTEM32>\attrib.exe' +R +S +H ntservice.dll
- '<SYSTEM32>\attrib.exe' +R +S +H ntsrv.exe
- '<SYSTEM32>\attrib.exe' +R +S +H ntauth.dll
- '<SYSTEM32>\attrib.exe' +R +S +H cygwin1.dll
- '<SYSTEM32>\attrib.exe' +R +S +H libeay32.dll
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\system\DRIVER\svchostlogon.dll
- %WINDIR%\system\DRIVER\winlogon.dll
- %WINDIR%\system\DRIVER\servicelogon.dll
- %WINDIR%\system\DRIVER\servicesmgr.dll
- %WINDIR%\system\DRIVER\win32.dll.tmp
- %WINDIR%\system\DRIVER\schost.dll
- %WINDIR%\system\DRIVER\New Text Document (5).txt
- %WINDIR%\system\DRIVER\Driver32.dll
- %WINDIR%\system\DRIVER\ntauth.dll
- %WINDIR%\system\DRIVER\h.exe
- %WINDIR%\system\DRIVER\ntsrv.exe
- %WINDIR%\system\DRIVER\setup.bat
- %WINDIR%\system\DRIVER\csrss.exe
- %WINDIR%\system\DRIVER\cygcrypt-0.dll
- %WINDIR%\system\DRIVER\cygwin1.dll
- %WINDIR%\system\DRIVER\ntuser.exe
- %WINDIR%\system\DRIVER\services.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %WINDIR%\system\DRIVER\services.exe
- %WINDIR%\system\DRIVER\servicelogon.dll
- %WINDIR%\system\DRIVER\servicesmgr.dll
- %WINDIR%\system\DRIVER\winlogon.dll
- %WINDIR%\system\DRIVER\svchostlogon.dll
- %WINDIR%\system\DRIVER\ntuser.exe
- %WINDIR%\system\DRIVER\cygcrypt-0.dll
- %WINDIR%\system\DRIVER\csrss.exe
- %WINDIR%\system\DRIVER\cygwin1.dll
- %WINDIR%\system\DRIVER\ntsrv.exe
- %WINDIR%\system\DRIVER\ntauth.dll
Удаляет следующие файлы:
- %WINDIR%\system\DRIVER\h.exe
Перемещает следующие файлы:
- %WINDIR%\system\DRIVER\win32.dll.tmp в %WINDIR%\system\DRIVER\win32.dll
Самоудаляется.
Сетевая активность:
Подключается к:
- 'localhost':1047
- 'localhost':1046
- 'localhost':1050
- 'localhost':1049
- 'localhost':1044
- 'localhost':1038
- 'localhost':1037
- 'localhost':1043
- 'ir#.##surd-irc.net':6667
UDP:
- DNS ASK ir#.##surd-irc.net
- 'localhost':1041
- 'localhost':1039
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
