Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\SpyShelter] 'Start' = '00000001'
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\RarSFX0\SpyShelter.exe'
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'PROCMON_WINDOW_CLASS' WindowName: ''
- ClassName: 'RegMonClass' WindowName: ''
- ClassName: 'FileMonClass' WindowName: ''
Перехватывает следующие функции в SSDT (System Service Descriptor Table):
- NtRestoreKey, драйвер-обработчик: SpyShelter.sys
- NtRequestWaitReplyPort, драйвер-обработчик: SpyShelter.sys
- NtSetBootOptions, драйвер-обработчик: SpyShelter.sys
- NtSecureConnectPort, драйвер-обработчик: SpyShelter.sys
- NtProtectVirtualMemory, драйвер-обработчик: SpyShelter.sys
- NtOpenThread, драйвер-обработчик: SpyShelter.sys
- NtReplaceKey, драйвер-обработчик: SpyShelter.sys
- NtQueueApcThread, драйвер-обработчик: SpyShelter.sys
- NtTerminateProcess, драйвер-обработчик: SpyShelter.sys
- NtSystemDebugControl, драйвер-обработчик: SpyShelter.sys
- NtWriteVirtualMemory, драйвер-обработчик: SpyShelter.sys
- NtTerminateThread, драйвер-обработчик: SpyShelter.sys
- NtSetInformationFile, драйвер-обработчик: SpyShelter.sys
- NtSetContextThread, драйвер-обработчик: SpyShelter.sys
- NtShutdownSystem, драйвер-обработчик: SpyShelter.sys
- NtSetSystemInformation, драйвер-обработчик: SpyShelter.sys
- NtOpenSection, драйвер-обработчик: SpyShelter.sys
- NtDeleteBootEntry, драйвер-обработчик: SpyShelter.sys
- NtCreateThread, драйвер-обработчик: SpyShelter.sys
- NtDeviceIoControlFile, драйвер-обработчик: SpyShelter.sys
- NtDeleteFile, драйвер-обработчик: SpyShelter.sys
- NtConnectPort, драйвер-обработчик: SpyShelter.sys
- NtAddBootEntry, драйвер-обработчик: SpyShelter.sys
- NtCreateSection, драйвер-обработчик: SpyShelter.sys
- NtCreateKey, драйвер-обработчик: SpyShelter.sys
- NtMapViewOfSection, драйвер-обработчик: SpyShelter.sys
- NtLoadDriver, драйвер-обработчик: SpyShelter.sys
- NtOpenProcess, драйвер-обработчик: SpyShelter.sys
- NtModifyBootEntry, драйвер-обработчик: SpyShelter.sys
- NtFsControlFile, драйвер-обработчик: SpyShelter.sys
- NtDuplicateObject, драйвер-обработчик: SpyShelter.sys
- NtImpersonateThread, драйвер-обработчик: SpyShelter.sys
- NtImpersonateClientOfPort, драйвер-обработчик: SpyShelter.sys
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\RarSFX0\languages\Macedonian.lng
- %TEMP%\RarSFX0\languages\Korean.lng
- %TEMP%\RarSFX0\languages\Russian.lng
- %TEMP%\RarSFX0\languages\Polish.lng
- %TEMP%\RarSFX0\languages\Indonesian.lng
- %TEMP%\RarSFX0\languages\Hungarian.lng
- %TEMP%\RarSFX0\languages\Japanese.lng
- %TEMP%\RarSFX0\languages\Italian.lng
- %TEMP%\RarSFX0\languages\Serbian.lng
- %ALLUSERSPROFILE%\Application Data\TEMP\RAIDTest
- %TEMP%\RarSFX0\klhelper.dll
- %APPDATA%\SpyShelter\settings.ini
- %ALLUSERSPROFILE%\Application Data\Licenses\0CB536BB94EF6BABA.Lic
- %TEMP%\RarSFX0\languages\Turkish.lng
- %TEMP%\RarSFX0\languages\Spanish.lng
- %TEMP%\RarSFX0\innohelper.dll
- %TEMP%\RarSFX0\help.chm
- %TEMP%\RarSFX0\languages\German.lng
- %TEMP%\RarSFX0\unins000.exe
- %TEMP%\RarSFX0\unins000.dat
- %TEMP%\RarSFX0\languages\Brazilian_Portuguese.lng
- %TEMP%\RarSFX0\unins000.msg
- %TEMP%\RarSFX0\RsltView.exe
- %TEMP%\RarSFX0\ReadMe.url
- %TEMP%\RarSFX0\SpyShelter.sys
- %TEMP%\RarSFX0\SpyShelter.exe
- %TEMP%\RarSFX0\languages\Chinese.lng
- %TEMP%\RarSFX0\languages\English.lng
- %TEMP%\RarSFX0\languages\Dutch.lng
- %TEMP%\RarSFX0\languages\French.lng
- %TEMP%\RarSFX0\languages\Farsi.lng
- %TEMP%\RarSFX0\languages\Croatian.lng
- %TEMP%\RarSFX0\languages\Chinese_Trad.lng
- %TEMP%\RarSFX0\languages\Danish.lng
- %TEMP%\RarSFX0\languages\Czech.lng
Сетевая активность:
Подключается к:
- 'sp###elter.com':80
- 'localhost':1039
- '25#.#55.255.255':80
TCP:
Запросы HTTP GET:
- sp###elter.com/update/free_ver
- sp###elter.com/free.html
UDP:
- DNS ASK www.sp###elter.com
- DNS ASK sp###elter.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'msctls_updown32' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
