Trojan.Winlock.3719

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'JSsetup' = '%WINDIR%\system\jssetup\JSsetup.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler] '{BA14F57A-79EA-4FFE-84BC-68845941D1F5}' = 'micser.dll'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Messenger' = '%WINDIR%\messenger\messenger.exe'

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\osqged] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\DSPLALER] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\CGPN] 'Start' = '00000002'

Подменяет следующие исполняемые системные файлы:

<DRIVERS>\ipfltdrv.sys файлом <DRIVERS>\ipfltdrv.sys.txt

Вредоносные функции:

Создает и запускает на исполнение:

<SYSTEM32>\zcgmp.exe /service
%PROGRAM_FILES%\ofexk\jpmu.exe /install /Silent CGPN Application Data Session Services Manager Application Data Session Services Manager

Запускает на исполнение:

<SYSTEM32>\net1.exe start DSPLALER
<SYSTEM32>\sc.exe create osqged type= kernel start= auto binpath= <DRIVERS>\osqged.sys
<SYSTEM32>\ping.exe 127.0.0.1
<SYSTEM32>\rundll32.exe "<SYSTEM32>\axtnk.dll",DllCanUnloadNow
<SYSTEM32>\cmd.exe /c "%TEMP%\tmp.bat"
<SYSTEM32>\sc.exe stop ipfilterdriver
<SYSTEM32>\regsvr32.exe /s <SYSTEM32>\micser.dll
<SYSTEM32>\sc.exe start ipfilterdriver
<SYSTEM32>\regsvr32.exe /s "%PROGRAM_FILES%\Internet Explorer\IETimbar\IETimbar.dll"
<SYSTEM32>\rundll32.exe fly2299.dll , InstallMyDll

Изменения в файловой системе:

Создает следующие файлы:

%PROGRAM_FILES%\Internet Explorer\IETimbar\cfg.dat
%PROGRAM_FILES%\Internet Explorer\IETimbar\IETimbar.dll
%PROGRAM_FILES%\ofexk\nuzose.exe
%PROGRAM_FILES%\ofexk\jpmu.exe
%PROGRAM_FILES%\Internet Explorer\IETimbar\httpf.dat
%PROGRAM_FILES%\Internet Explorer\IETimbar\vercfg.dat
<SYSTEM32>\dllcache\ipfltdrv.sys.sys
%WINDIR%\messenger\messenger.exe
%PROGRAM_FILES%\ofexk\jy.ini
<DRIVERS>\osqged.log
<DRIVERS>\ipfltdrv.sys.txt
%PROGRAM_FILES%\ofexk\lovoof.exe
%WINDIR%\Temp\Messenger\ybflo.ini
C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\0J2LM5OP\update[1].htm
%TEMP%\tmp.bat
<SYSTEM32>\adorder.ini
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\gt[1].asp
C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\IVQDA70J\wpad[1].dat
%PROGRAM_FILES%\Internet Explorer\IETimbar\Uninstall.exe
<SYSTEM32>\mssrcid.ini
%PROGRAM_FILES%\ofexk\ovrlp.exe
%TEMP%\lnvsvc32.exe
%TEMP%\tmp.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\downloader_4005[1].gif
%PROGRAM_FILES%\ofexk\fomnos\soscev.dll
%TEMP%\small669.exe
%TEMP%\syster.exe
%TEMP%\setupqq.exe
%TEMP%\explor.exe
%TEMP%\svehost.exe
%TEMP%\lqbzse.exe
%TEMP%\g81\gTemp.dat
%TEMP%\g81\setup.exe
%TEMP%\g81\DLL.dll
%TEMP%\nss3.tmp
%TEMP%\g81\jTemp.dat
%TEMP%\g81\setup.ini
<SYSTEM32>\micser.dll
<SYSTEM32>\dllcache\fly2299.dll
<SYSTEM32>\fly2299.dll
%PROGRAM_FILES%\ofexk\fomnos\pat.xml
%TEMP%\5.tmp
%WINDIR%\srchasst\wqc0118.lex
%TEMP%\Messenger\nvsys.ini
%TEMP%\Messenger\mqtrig.dll
%TEMP%\ColorPix.exe
%TEMP%\Messenger\sysvc.dat
%TEMP%\Messenger\sysmain.dat
%TEMP%\Messenger\setup.exe

Удаляет следующие файлы:

%TEMP%\g81\setup.ini
%TEMP%\g81\setup.exe
%TEMP%\g81\ЅрЙЅґтЧЦНЁ2009_setup.exe
%TEMP%\lqbzse.exe
%TEMP%\svehost.exe
%TEMP%\g81\jTemp.dat
%PROGRAM_FILES%\ofexk\jy.ini
<DRIVERS>\ipfltdrv.sys
%TEMP%\5.tmp
%TEMP%\g81\DLL.dll
%TEMP%\tmp.tmp

Сетевая активность:

Подключается к:

'www.ba##upn.cn':80
'wpad.localdomain':80
'<IP-адрес в локальной сети>':445
'www.66##.8800.org':80
'localhost':1038
'ms#.#912345.com':80

TCP:

Запросы HTTP GET:

wpad.localdomain/wpad.dat
www.ba##upn.cn/page/gt.asp?ve#################################
www.ba##upn.cn/up/update.htm
www.66##.8800.orghttp://www.6666.8800.org/Start.htm?Ar#########################################################################################################################################################
ms#.#912345.com/html/downloader_4005.gif

UDP:

DNS ASK www.ba##upn.cn
DNS ASK wpad.localdomain
DNS ASK www.66##.8800.org
DNS ASK ms#.#912345.com

Другое:

Ищет следующие окна:

ClassName: 'AUTOLIVE_CLASS_C7DC1F21-713F-4585-913D-C253689E97A5' WindowName: 'AUTOLIVE_WND_C7DC1F21-713F-4585-913D-C253689E97A5'
ClassName: 'Indicator' WindowName: ''
ClassName: 'Shell_TrayWnd' WindowName: ''