Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\BaiduSdSvc.exe] 'debugger' = 'ctfmon.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\BaiduHips.exe] 'debugger' = 'ctfmon.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\BaiduSd.exe] 'debugger' = 'ctfmon.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\dep360.exe] 'debugger' = 'ctfmon.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\BaiduSdUProxy64.exe] 'debugger' = 'ctfmon.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\BaiduSdTray.exe] 'debugger' = 'ctfmon.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\SoftManager.exe] 'debugger' = 'ctfmon.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\WDSafeDown.exe] 'debugger' = 'ctfmon.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ZhuDongFangYu.exe] 'debugger' = 'ctfmon.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\DSMain.exe] 'debugger' = 'ctfmon.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\DumpUper.exe] 'debugger' = 'ctfmon.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\LiveUpdate360.exe] 'debugger' = 'ctfmon.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\BCIPFILTER.exe] 'Debugger' = 'P:\\gtxp2.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360PrivacyCtrl.exe] 'debugger' = 'ctfmon.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360Quart.exe] 'debugger' = 'ctfmon.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360realpro.exe] 'debugger' = 'ctfmon.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\killchild.exe] 'Debugger' = 'P:\\gtxp2.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360AppLoader.exe] 'debugger' = 'ctfmon.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360leakfixer.exe] 'debugger' = 'ctfmon.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360sdrun.exe] 'debugger' = 'ctfmon.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360tray.exe] 'debugger' = 'ctfmon.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360WDMain.exe] 'debugger' = 'ctfmon.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360rp.exe] 'debugger' = 'ctfmon.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360Safe.exe] 'debugger' = 'ctfmon.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360sd.exe] 'debugger' = 'ctfmon.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '<Текущая директория>\bar.exe'
- '<Текущая директория>\run.exe'
Запускает на исполнение:
- '<SYSTEM32>\taskkill.exe' /f /im mzdrunclient.exe
- '<SYSTEM32>\cacls.exe' "%PROGRAM_FILES%\BarClient" /T /G Everyone:F
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
- '<SYSTEM32>\wscript.exe' "<Текущая директория>\del.vbs"
- '<SYSTEM32>\wscript.exe' "<Текущая директория>\1.vbs"
- '%WINDIR%\regedit.exe' /s wmb.reg
- '<SYSTEM32>\wscript.exe' "%WINDIR%\jw\Upd\JwAd\jw.vbs"
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\jw\Upd\JwAd\jtwz.reg
- %WINDIR%\jw\Upd\JwAd\jw.bat
- %WINDIR%\jw\Upd\JwAd\fKill.exe
- %WINDIR%\jw\Upd\JwAd\BarClient.exe重命名
- %WINDIR%\jw\Upd\JwAd\BarClient.ex_
- %WINDIR%\jw\Upd\JwAd\jw.vbs
- %WINDIR%\jw\Upd\JwAd\rundll32.exe
- %WINDIR%\jw\Upd\JwAd\USP10.dll
- %WINDIR%\jw\Upd\JwAd\regset.ini
- %WINDIR%\jw\Upd\JwAd\JwAdDll.DAT
- %WINDIR%\jw\Upd\JwAd\regini.exe
- <Текущая директория>\ws.bat
- <Текущая директория>\1.vbs
- <Текущая директория>\run.ini
- <Текущая директория>\bar.exe
- <Текущая директория>\run.exe
- <Текущая директория>\wmb.reg
- %WINDIR%\jw\Upd\JwAd\AD_Sys.ini
- %WINDIR%\jw\Upd\JwAd\AntiAD.ini
- %WINDIR%\jw\Upd\JwAd\AD_JW.ini
- <Текущая директория>\del.bat
- <Текущая директория>\del.vbs
Удаляет следующие файлы:
- <SYSTEM32>\PerfStringBackup.TMP
- <SYSTEM32>\wbem\Performance\WmiApRpl.ini
Другое:
Ищет следующие окна:
- ClassName: 'RegEdit_RegEdit' WindowName: ''
- ClassName: '' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
