Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'BlockNSurf' = '%PROGRAM_FILES%\BlockAndSurf-soft\BlockNSurf.exe'
Создает или изменяет следующие файлы:
- %WINDIR%\Tasks\BlockAndSurf Update.job
- %WINDIR%\Tasks\BlockAndSurf_wd.job
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\BlockAndSurf] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '%PROGRAM_FILES%\BlockAndSurf-soft\BlockNSurf.exe'
- '%PROGRAM_FILES%\BlockAndSurf-soft\BlockAndSurfwd.exe'
- '%PROGRAM_FILES%\BlockAndSurf-soft\BnSup.exe' /postinstall v= uid= it= arm= armt= eb= rep= rem= rb=0
- '%PROGRAM_FILES%\BlockAndSurf-soft\BlockAndSurf157.exe'
Завершает или пытается завершить
следующие пользовательские процессы:
- chrome.exe
- firefox.exe
- iexplore.exe
Изменяет следующие настройки браузера Windows Internet Explorer:
- [<HKLM>\SYSTEM\ControlSet001\Hardware Profiles\0001\Software\Microsoft\windows\CurrentVersion\Internet Settings] 'ProxyEnable' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyServer' = 'http=127.0.0.1:13828'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyEnable' = '00000001'
Изменения в файловой системе:
Создает следующие файлы:
- %PROGRAM_FILES%\BlockAndSurf-soft\BlockAndSurfwd.exe
- %PROGRAM_FILES%\BlockAndSurf-soft\BnSup.exe
- <SYSTEM32>\GroupPolicy\gpt.ini
- %PROGRAM_FILES%\BlockAndSurf-soft\157.xpi
- %PROGRAM_FILES%\BlockAndSurf-soft\BlockAndSurf157.exe
- %PROGRAM_FILES%\BlockAndSurf-soft\BlockNSurf.exe
- <SYSTEM32>\GroupPolicy\Machine\Registry.pol
- %PROGRAM_FILES%\BlockAndSurf-soft\157.dat
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\installed[1].0&browsers=&itm=1406188837&utm=0&v=0&ast=&uid=2D47C56D41E4EB5D&s=0&vd=0&ad=0&r=&c=0&eb=
- %TEMP%\upr4.tmp
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\user.js
- %PROGRAM_FILES%\BlockAndSurf-soft\BlockAndSurf157.ini
- %ALLUSERSPROFILE%\ntuser.pol
- %PROGRAM_FILES%\BlockAndSurf-soft\157.crx
- %PROGRAM_FILES%\BlockAndSurf-soft\Sqlite3.dll
- %PROGRAM_FILES%\BlockAndSurf-soft\a.db
- %PROGRAM_FILES%\BlockAndSurf-soft\b.db
- %TEMP%\nsh2.tmp
- %TEMP%\nsm3.tmp\r.dll
- %PROGRAM_FILES%\BlockAndSurf-soft\BlockAndSurf157.bin
- %PROGRAM_FILES%\BlockAndSurf-soft\b.res
- %PROGRAM_FILES%\BlockAndSurf-soft\c42.res
- %PROGRAM_FILES%\BlockAndSurf-soft\u.res
- %PROGRAM_FILES%\BlockAndSurf-soft\Uninstall.exe
- %PROGRAM_FILES%\BlockAndSurf-soft\c2.res
- %PROGRAM_FILES%\BlockAndSurf-soft\c3.res
- %PROGRAM_FILES%\BlockAndSurf-soft\c41.res
Удаляет следующие файлы:
- %PROGRAM_FILES%\BlockAndSurf-soft\c42.res
- %PROGRAM_FILES%\BlockAndSurf-soft\u.res
- %TEMP%\nsm3.tmp\r.dll
- %PROGRAM_FILES%\BlockAndSurf-soft\b.res
- %PROGRAM_FILES%\BlockAndSurf-soft\c2.res
- %PROGRAM_FILES%\BlockAndSurf-soft\c3.res
- %PROGRAM_FILES%\BlockAndSurf-soft\c41.res
Сетевая активность:
Подключается к:
- 'sw####.mappingtools.net':80
- 'localhost':13828
- 'localhost':1039
TCP:
Запросы HTTP GET:
- sw####.mappingtools.net/report/installed/?p=###################################################################################################################################################################
UDP:
- DNS ASK sw####.mappingtools.net
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
