Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Classes\MSProgramGroup\Shell\Open\Command] '' = '<SYSTEM32>\grpconv.exe %1'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'GrpConv' = 'grpconv -o'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'MoveSearch' = '%PROGRAM_FILES%\HuaCi\huaci\zsearch.exe'
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\»®ґКЛСЛч.lnk
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\abhcop] 'Start' = '00000001'
- [<HKLM>\SYSTEM\ControlSet001\Services\hcalway] 'Start' = '00000001'
Вредоносные функции:
Создает и запускает на исполнение:
- '%PROGRAM_FILES%\HuaCi\huaci\zsup.exe' check
- '%PROGRAM_FILES%\HuaCi\huaci\zsearch.exe' aa
- '%TEMP%\RarSFX0\msetup.exe'
Запускает на исполнение:
- '<SYSTEM32>\runonce.exe' -r
- '<SYSTEM32>\grpconv.exe' -o
- '<SYSTEM32>\regsvr32.exe' "%PROGRAM_FILES%\HuaCi\huaci\searchm.dll" -s
- '<SYSTEM32>\rundll32.exe' setupapi,InstallHinfSection DefaultInstall 132 .\hcalway.inf
Перехватывает следующие функции в SSDT (System Service Descriptor Table):
- NtSetValueKey, драйвер-обработчик: abhcop.sys
- NtDeleteValueKey, драйвер-обработчик: abhcop.sys
- NtDeleteKey, драйвер-обработчик: abhcop.sys
Изменения в файловой системе:
Создает следующие файлы:
- %PROGRAM_FILES%\HuaCi\huaci\mUin.exe
- %PROGRAM_FILES%\HuaCi\huaci\mUin.exe.tmp
- %PROGRAM_FILES%\HuaCi\huaci\SearchM.dll.zgx
- %PROGRAM_FILES%\HuaCi\huaci\SearchM.dll.zgx.tmp
- %PROGRAM_FILES%\HuaCi\huaci\Mouse1.dll.zgx
- %PROGRAM_FILES%\HuaCi\huaci\hcalway.sys.tmp
- %PROGRAM_FILES%\HuaCi\huaci\hcalway.inf
- %PROGRAM_FILES%\HuaCi\huaci\Mouse1.dll.zgx.tmp
- %PROGRAM_FILES%\HuaCi\huaci\hcalway.sys
- %PROGRAM_FILES%\HuaCi\huaci\_uninstall
- %PROGRAM_FILES%\HuaCi\huaci\zsup.exe
- %PROGRAM_FILES%\HuaCi\update\sysadInfo.ini
- %HOMEPATH%\Start Menu\Programs\»®ґКЛСЛч.lnk
- %PROGRAM_FILES%\HuaCi\huaci\zsup.exe.tmp
- %PROGRAM_FILES%\HuaCi\huaci\sysupdate.ini
- %PROGRAM_FILES%\HuaCi\huaci\sysupdate.ini.tmp
- %PROGRAM_FILES%\HuaCi\huaci\zsearch.exe
- %PROGRAM_FILES%\HuaCi\huaci\zsearch.exe.tmp
- %TEMP%\RarSFX0\_SETUP.DLL
- %TEMP%\RarSFX0\_SETUP.1
- %TEMP%\RarSFX0\DISK1.ID
- %TEMP%\RarSFX0\_SETUP.LIB
- %TEMP%\RarSFX0\_ISDEL.EXE
- %TEMP%\RarSFX0\agent.ini
- %TEMP%\RarSFX0\SETUP.PKG
- %TEMP%\RarSFX0\_INST32I.EX_
- %TEMP%\RarSFX0\msetup.exe
- %PROGRAM_FILES%\HuaCi\huaci\allverx.dat.tmp
- %PROGRAM_FILES%\HuaCi\huaci\abhcop.sys
- %PROGRAM_FILES%\HuaCi\huaci\hcalway.inf.tmp
- %PROGRAM_FILES%\HuaCi\huaci\allverx.dat
- %PROGRAM_FILES%\HuaCi\huaci\abhcop.sys.tmp
- %TEMP%\RarSFX0\SETUP.INI
- %TEMP%\RarSFX0\SETUP.EXE
- %PROGRAM_FILES%\HuaCi\huaci\setup.tmp
- %TEMP%\RarSFX0\SETUP.INS
Удаляет следующие файлы:
- %PROGRAM_FILES%\HuaCi\huaci\zsearch.exe.tmp
- %PROGRAM_FILES%\HuaCi\huaci\sysupdate.ini.tmp
- %PROGRAM_FILES%\HuaCi\huaci\SearchM.dll.zgx.tmp
- %PROGRAM_FILES%\HuaCi\huaci\hcalway.inf
- %PROGRAM_FILES%\HuaCi\huaci\setup.tmp
- %PROGRAM_FILES%\HuaCi\huaci\zsup.exe.tmp
- %PROGRAM_FILES%\HuaCi\huaci\hcalway.inf.tmp
- %PROGRAM_FILES%\HuaCi\huaci\allverx.dat.tmp
- %PROGRAM_FILES%\HuaCi\huaci\abhcop.sys.tmp
- %PROGRAM_FILES%\HuaCi\huaci\mUin.exe.tmp
- %PROGRAM_FILES%\HuaCi\huaci\Mouse1.dll.zgx.tmp
- %PROGRAM_FILES%\HuaCi\huaci\hcalway.sys.tmp
Перемещает следующие файлы:
- %PROGRAM_FILES%\HuaCi\huaci\hcalway.sys в <DRIVERS>\hcalway.sys
- %PROGRAM_FILES%\HuaCi\huaci\abhcop.sys в <DRIVERS>\abhcop.sys
- %PROGRAM_FILES%\HuaCi\huaci\Mouse1.dll.zgx в %PROGRAM_FILES%\HuaCi\huaci\Mouse1.dll
- %PROGRAM_FILES%\HuaCi\huaci\SearchM.dll.zgx в %PROGRAM_FILES%\HuaCi\huaci\SearchM.dll
Сетевая активность:
Подключается к:
- 'do#####d.zhongsou.com':80
- 'localhost':1036
- 'localhost':1035
TCP:
Запросы HTTP GET:
- do#####d.zhongsou.com/cdsearch/update.asp?ty##############
- do#####d.zhongsou.com/msstat/dealip.asp?aa##################################################################################################################
UDP:
- DNS ASK do#####d.zhongsou.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
