Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad] 'WebSecurity' = '{3DD78ACF-0745-4532-94F8-A574457E1A81}'
- [<HKCU>\Software\Microsoft\Internet Explorer\Extensions\{C1F0024B-8278-4999-B7E6-2718426D9FE6}] 'ClsidExtension' = '{E36884E3-42E9-4A8E-A7F8-6DE700903E5C}'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '<SYSTEM32>\sna.exe' = '<SYSTEM32>\sna.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'sdmmrnm' = '%WINDIR%\temp\sd155.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'CdnCtr' = '%PROGRAM_FILES%\CNNIC\Cdn\cdnup.exe'
- [<HKLM>\SOFTWARE\Microsoft\Internet Explorer\Extensions\{5C3853CF-C7E0-4946-B3FA-1ABDB6F48108}] 'ClsidExtension' = '{5C3853CF-C7E0-4946-B3FA-1ABDB6F48108}'
- [<HKLM>\SOFTWARE\Microsoft\Internet Explorer\Extensions\{6671A433-5C3D-463d-A7CF-5587F9B7E191}] 'ClsidExtension' = '{6671A432-5C3D-463d-A7CF-5587F9B7E191}'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Imsvc] 'Start' = '00000002'
- [<HKLM>\SYSTEM\ControlSet001\Services\000054c6] 'Start' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\parcls] 'Start' = '00000002'
- [<HKLM>\SYSTEM\ControlSet001\Services\cdnprot] 'start' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\vbgbzy18] 'Start' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\VisionService] 'Start' = '00000002'
Изменяет следующие исполняемые системные файлы:
- <SYSTEM32>\setup.exe
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%WINDIR%\temp\sd155.exe' = '%WINDIR%\temp\sd155.exe:*:Enabled:sd155.exe'
Создает и запускает на исполнение:
- '%TEMP%\DriverTool.exe' D jr
- '%TEMP%\DriverTool.exe' D rd
- '%TEMP%\DecFile.exe' /s:<DRIVERS>\parcls.syss/t:<DRIVERS>\parcls.sys/p:HTTP:\\www.microsoft.com
- '%TEMP%\DriverTool.exe' D wadex
- '%TEMP%\DecFile.exe' /s:%TEMP%\DriverTool.exee\t:C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\DriverTool.exe\p:HTTP:\\www.microsoft.com
- '%TEMP%\DriverTool.exe' D parcls
- '%TEMP%\DriverTool.exe' D hdfs
- '%TEMP%\DecFile.exe' /s:%TEMP%\PvSec.dlll\t:C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\PvSec.dll\p:HTTP:\\www.microsoft.com
- '%TEMP%\DecFile.exe' /s:%TEMP%\caifu.dlll\t:C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\caifu.dll\p:HTTP:\\www.microsoft.com
- '<SYSTEM32>\dodolook043.exe'
- '<SYSTEM32>\sna.exe'
- '%TEMP%\friend.exe' 24 %WINDIR%\Help\winmail.chm
- '%TEMP%\DriverTool.exe' E parcls
- '%TEMP%\DecFile.exe' /s:%TEMP%\friend.txtt\t:C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\friend.txt\p:HTTP:\\www.microsoft.com
- '%TEMP%\DecFile.exe' /s:%TEMP%\friend.exee\t:C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\friend.exe\p:HTTP:\\www.microsoft.com
- '<SYSTEM32>\2001.exe'
- '<SYSTEM32>\20134.exe'
- '<SYSTEM32>\mms.exe'
- '%ALLUSERSPROFILE%\Templates\temp.exe'
- '<SYSTEM32>\setup213.exe'
- '%TEMP%\3\setup.exe' 00010802
- '<SYSTEM32>\bind_50006.exe'
- '%TEMP%\10582.exe'
- '%WINDIR%\Temp\10582.exe'
- '%WINDIR%\Temp\sd155.exe'
- '<SYSTEM32>\cf02.exe'
- '%TEMP%\mms_704.exe'
- '%TEMP%\live.exe'
- '%TEMP%\MIS_704_0.EXE'
- '%ALLUSERSPROFILE%\Templates\temp.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\Webmail.dll,RundllInstall
- '<SYSTEM32>\rundll32.exe' "<SYSTEM32>\vbgbzy18.dll" ,DllCanUnloadNow
- '<SYSTEM32>\rundll32.exe' %PROGRAM_FILES%\vision\VISVER.DLL,Service
- '<SYSTEM32>\regsvr32.exe' /s <SYSTEM32>\\SCIntruder32.dll
- '<SYSTEM32>\regsvr32.exe' /u /s <SYSTEM32>\\SCIntruder.dll
- '<SYSTEM32>\regsvr32.exe' /s <SYSTEM32>\\SCIntruder.dll
- '<SYSTEM32>\regsvr32.exe' /u /s "%PROGRAM_FILES%\Huaci\Huaci\SearchM.dll"
- '<SYSTEM32>\regsvr32.exe' /u /s "%PROGRAM_FILES%\SearchNet\SNHpr.dll"
- '<SYSTEM32>\setup.exe'
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
- '<SYSTEM32>\regsvr32.exe' /s "%ALLUSERSPROFILE%\Application Data\Microsoft\Office\NAVDATA\webnav_2001.dll"
Перехватывает следующие функции в SSDT (System Service Descriptor Table):
- NtSetValueKey, драйвер-обработчик: parcls.sys
- NtTerminateProcess, драйвер-обработчик: parcls.sys
- NtDeleteKey, драйвер-обработчик: parcls.sys
- NtDeleteValueKey, драйвер-обработчик: parcls.sys
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\DriverTool.exee
- <DRIVERS>\000054c6.SYS
- %TEMP%\DecFile.exe
- %WINDIR%\Temp\sd155.exe
- %TEMP%\nsu10.tmp
- <SYSTEM32>\000054c6.DAT
- %TEMP%\DriverTool.exe
- %TEMP%\tmp12.CAB
- %APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\ec702f375e1b12d218f67ab9ef19ca23_23ef5514-3059-436f-a4a7-4cefaab20eb1
- %PROGRAM_FILES%\vision\almms.dat
- %TEMP%\10582.exe
- %PROGRAM_FILES%\vision\vision.ini
- %TEMP%\invison.exe
- %TEMP%\mms_704.exe
- %TEMP%\live.exe
- <SYSTEM32>\Webmail.dll
- %PROGRAM_FILES%\vision\visver.dll
- %WINDIR%\Temp\10582.exe
- %PROGRAM_FILES%\vision\vision.dll
- %PROGRAM_FILES%\vision\alvsn.dll
- %PROGRAM_FILES%\vision\updateex.ini
- %PROGRAM_FILES%\ІЖё»НЁ\caifu.dll
- %PROGRAM_FILES%\ІЖё»НЁ\uninst.exe
- %TEMP%\caifu.dll
- %WINDIR%\Help\winmail.chm
- %TEMP%\caifu.dlll
- %TEMP%\p_star_1.jpg
- %PROGRAM_FILES%\vision\updvsnex\updvsnex.ini
- <SYSTEM32>\sbvw.ll
- %PROGRAM_FILES%\vision\updvsn\updateex.ini
- <SYSTEM32>\cnwin.dll
- <SYSTEM32>\wbem\sholl32.dll
- <DRIVERS>\parcls.sys
- %TEMP%\PvSec.dlll
- <DRIVERS>\parcls.syss
- <SYSTEM32>\SCIntruder32.dll
- %TEMP%\SCI13.tmp
- %TEMP%\PvSec.dll
- %TEMP%\friend.exee
- %TEMP%\friend.exe
- %TEMP%\friend.txt
- <SYSTEM32>\PvSec.dll
- %TEMP%\friend.txtt
- %TEMP%\nsxC.tmp
- %TEMP%\3\cdnforie.dll
- %TEMP%\3\cdnins.dll
- %TEMP%\3\cdnaux.dll
- %TEMP%\2ht.dll
- %TEMP%\3\cdn.dll
- %TEMP%\3\cdnprh.dll
- %TEMP%\3\cdnup.exe
- %TEMP%\3\cdnvers.dat
- %TEMP%\3\cdnunins.exe
- %TEMP%\3\cdnprot.dat
- %TEMP%\3\cdnprot.sys
- <SYSTEM32>\bind_50006.exe
- <SYSTEM32>\cf02.exe
- <SYSTEM32>\20134.exe
- %TEMP%\nsn2.tmp
- <SYSTEM32>\2001.exe
- <SYSTEM32>\dodolook043.exe
- %TEMP%\olvuhl
- %TEMP%\9ng.dll
- <SYSTEM32>\sna.exe
- <SYSTEM32>\mms.exe
- <SYSTEM32>\setup213.exe
- %TEMP%\tmp6.CAB
- <SYSTEM32>\SCIntruder.dll
- %ALLUSERSPROFILE%\Application Data\Microsoft\Office\NAVDATA\webnav_2001.dll
- %TEMP%\nsj5.tmp
- %ALLUSERSPROFILE%\Templates\temp.exe
- %TEMP%\SCI7.tmp
- <SYSTEM32>\vbgbzy18.dll
- <DRIVERS>\vbgbzy18.sys
- %TEMP%\tmpA.CAB
- %TEMP%\SCI8.tmp
- %TEMP%\tmp9.CAB
- %TEMP%\src.tmp
- %PROGRAM_FILES%\CNNIC\Cdn\idnconvs.dll
- %TEMP%\3\src.dat
- %TEMP%\3\idnconvs.dll
- %TEMP%\3\setup.exe
- %PROGRAM_FILES%\CNNIC\Cdn\cdnvers.dat
- %PROGRAM_FILES%\CNNIC\Cdn\cdnup.exe
- %PROGRAM_FILES%\CNNIC\Cdn\cdnforie.dll
- %PROGRAM_FILES%\CNNIC\Cdn\cdnaux.dll
- %PROGRAM_FILES%\CNNIC\Cdn\cdnunins.exe
- %PROGRAM_FILES%\CNNIC\Cdn\src.dat
Присваивает атрибут 'скрытый' для следующих файлов:
- %PROGRAM_FILES%\vision\updateex.ini
- %TEMP%\MIS_704_0.EXE
Удаляет следующие файлы:
- %TEMP%\friend.exee
- %TEMP%\friend.txtt
- %TEMP%\friend.exe
- %TEMP%\friend.txt
- %TEMP%\DriverTool.exe
- <DRIVERS>\parcls.syss
- %TEMP%\tmp12.CAB
- %TEMP%\PvSec.dll
- %TEMP%\PvSec.dlll
- %TEMP%\caifu.dlll
- <SYSTEM32>\PerfStringBackup.TMP
- C:\~de14.tmp
- <SYSTEM32>\sna.exe
- <SYSTEM32>\sbvw.ll
- <SYSTEM32>\dodolook043.exe
- %TEMP%\caifu.dll
- %TEMP%\DecFile.exe
- <SYSTEM32>\cf02.exe
- <SYSTEM32>\wbem\Performance\WmiApRpl.ini
- %TEMP%\DriverTool.exee
- <SYSTEM32>\setup.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\barsetup[1]
- <SYSTEM32>\2001.exe
- <SYSTEM32>\bind_50006.exe
- <SYSTEM32>\setup213.exe
- %TEMP%\9ng.dll
- %TEMP%\olvuhl
- %TEMP%\src.tmp
- %TEMP%\2ht.dll
- %TEMP%\tmp6.CAB
- <SYSTEM32>\mms.exe
- %TEMP%\10582.exe
- <SYSTEM32>\SCIntruder.dll
- C:\~de11.tmp
- %TEMP%\live.exe
- %TEMP%\tmpA.CAB
- %TEMP%\tmp9.CAB
- %TEMP%\mms_704.exe
- <SYSTEM32>\20134.exe
Перемещает следующие файлы:
- %PROGRAM_FILES%\vision\updateex.ini в C:\~de14.tmp
- %PROGRAM_FILES%\vision\updvsn\updateex.ini в %PROGRAM_FILES%\vision\updateex.ini
- %TEMP%\invison.exe в %TEMP%\MIS_704_0.EXE
- %TEMP%\MIS_704_0.EXE в C:\~de11.tmp
Сетевая активность:
Подключается к:
- 'up###.j7y.net':80
- 'localhost':1044
- 'ao##ft.cn':21
- 'localhost':1047
- 'up.###web.com.cn':80
- 'se###1.tqzn.com':80
- 'up####.borlander.cn':80
- 'ac####.borlander.com.cn':80
TCP:
Запросы HTTP GET:
- up####.borlander.cn/updmms/updateex.ini
- up####.borlander.cn/updmms/updvsnex.ini
- up###.j7y.net/upcfg/downurl.txt
- se###1.tqzn.com/barbindsoft/barsetup.exe?qu###########
- up.###web.com.cn/cliententry/
- ac####.borlander.com.cn/active?t=#####################################
UDP:
- DNS ASK up####.borlander.cn
- DNS ASK up###.j7y.net
- DNS ASK ao##ft.cn
- DNS ASK se###1.tqzn.com
- DNS ASK up.###web.com.cn
- DNS ASK ac####.borlander.com.cn
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: 'Chinese Navigation Upgrade'
- ClassName: '' WindowName: 'Chinese Navigation'
- ClassName: 'Shell_Traynd' WindowName: ''
- ClassName: 'Progman' WindowName: 'Program Manager'
- ClassName: '' WindowName: 'CdnHide'
- ClassName: '' WindowName: 'CdnUp'
