Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\BLDBaseService] 'Start' = '00000001'
Вредоносные функции:
Создает и запускает на исполнение:
- '%PROGRAM_FILES%\BLDBaseService\Configuration.exe' "-act=install" "-proc=winlogon.exe" "-dll=%PROGRAM_FILES%\BLDBaseService\BLDBaseService.dll"
- '%PROGRAM_FILES%\BLDBaseService\Configuration.exe' "-act=install" "-proc=explorer.exe" "-dll=%PROGRAM_FILES%\BLDBaseService\BLDBaseService.dll"
- 'C:\cy86.exe' /S
- '%PROGRAM_FILES%\BLDBaseService\Configuration.exe' "-act=ar" "-file=%ALLUSERSPROFILE%\Application Data\BLDBaseService"
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /C c:\cy86.exe /S
Внедряет код в
следующие системные процессы:
- %WINDIR%\Explorer.EXE
- <SYSTEM32>\winlogon.exe
Перехватывает следующие функции в SSDT (System Service Descriptor Table):
- NtEnumerateValueKey, драйвер-обработчик: BLDService.sys
- NtQueryValueKey, драйвер-обработчик: BLDService.sys
- NtSetValueKey, драйвер-обработчик: BLDService.sys
- NtDeleteKey, драйвер-обработчик: BLDService.sys
- NtDeleteValueKey, драйвер-обработчик: BLDService.sys
- NtEnumerateKey, драйвер-обработчик: BLDService.sys
Изменения в файловой системе:
Создает следующие файлы:
- %PROGRAM_FILES%\BLDBaseService\bldfixer.exe
- %PROGRAM_FILES%\BLDBaseService\BLDBaseService.exe
- %TEMP%\~DFD243.tmp
- %ALLUSERSPROFILE%\Application Data\BLDBaseService\config_update.bak
- %ALLUSERSPROFILE%\Application Data\BLDBaseService\SoftUpdate.xml
- %PROGRAM_FILES%\BLDBaseService\setting.ini
- %ALLUSERSPROFILE%\Application Data\BLDBaseService\config_update.xml
- %ALLUSERSPROFILE%\Application Data\BLDBaseService\soft_installed.xml
- %ALLUSERSPROFILE%\Application Data\BLDBaseService\statconfig.ini
- %ALLUSERSPROFILE%\Application Data\BLDBaseService\urlitemb.bin
- %ALLUSERSPROFILE%\Application Data\BLDBaseService\config_update_cloud_bak.xml
- %ALLUSERSPROFILE%\Application Data\BLDBaseService\config_update_cloud.xml
- %ALLUSERSPROFILE%\Application Data\BLDBaseService\SoftUpdate_bak.xml
- %PROGRAM_FILES%\BLDBaseService\BLDService.sys
- %TEMP%\nsy3.tmp\System.dll
- %TEMP%\setupplugins.dll
- %TEMP%\BLDInstall.log
- C:\plk
- C:\cy86.exe
- %TEMP%\nsd2.tmp
- %PROGRAM_FILES%\BLDBaseService\BLDBaseService.dll
- %PROGRAM_FILES%\BLDBaseService\setupplugins.dll
- %PROGRAM_FILES%\BLDBaseService\uninst.exe
- %PROGRAM_FILES%\BLDBaseService\uninst.ico
- %PROGRAM_FILES%\BLDBaseService\Configuration.exe
- %PROGRAM_FILES%\BLDBaseService\bbcomm.dll
- %PROGRAM_FILES%\BLDBaseService\bbhelper.dll
Удаляет следующие файлы:
- %ALLUSERSPROFILE%\Application Data\BLDBaseService\SoftUpdate_bak.xml
- %TEMP%\nsy3.tmp\System.dll
- %ALLUSERSPROFILE%\Application Data\BLDBaseService\config_update_cloud_bak.xml
- %TEMP%\setupplugins.dll
- %PROGRAM_FILES%\BLDBaseService\BLDService.sys
Сетевая активность:
Подключается к:
- '12#.#25.114.144':80
- 'up####.u.gsie.cn':80
- 'ap#.gsie.cn':80
- '12###.iboluo.cc':80
- 'localhost':1041
TCP:
Запросы HTTP GET:
- http://up####.u.gsie.cn/?ve#####################################################################################################################################################
- http://up####.u.gsie.cn/install/?ve##############################################################################################################################################################...
- http://ap#.gsie.cn/bldservice/upver?ui#######################################################################################################################################
- http://12###.iboluo.cc/bluebox.html?ac###############################################################################
- http://ap#.gsie.cn/bldservice/checkupver?ui######################################################################################################################
UDP:
- DNS ASK www.ba##u.com
- DNS ASK up####.u.gsie.cn
- DNS ASK 12###.iboluo.cc
- DNS ASK ap#.gsie.cn
Другое:
Ищет следующие окна:
- ClassName: 'Internet Explorer_TridentDlgFrame' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
