Trojan.DownLoader11.16793

Техническая информация

Для обеспечения автозапуска и распространения:

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\bluebox] 'Start' = '00000001'

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%TEMP%\xpdgu_30742.exe' = '%TEMP%\xpdgu_30742.exe:*:Enabled:百度杀毒在线安装程序'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List] '%TEMP%\xpdgu_30742.exe' = '%TEMP%\xpdgu_30742.exe:*:Enabled:百度杀毒在线安装程序'

Создает и запускает на исполнение:

'%PROGRAM_FILES%\BlueBox\BlueBox.exe' hide
'%TEMP%\BlueBox_bsozhxmb_S_Setup.exe' /S
'%PROGRAM_FILES%\blue\BlueSoftSetup_bsozhxmb.exe'

Перехватывает следующие функции в SSDT (System Service Descriptor Table):

NtEnumerateValueKey, драйвер-обработчик: bluebox.sys
NtQueryValueKey, драйвер-обработчик: bluebox.sys
NtSetValueKey, драйвер-обработчик: bluebox.sys
NtDeleteKey, драйвер-обработчик: bluebox.sys
NtDeleteValueKey, драйвер-обработчик: bluebox.sys
NtEnumerateKey, драйвер-обработчик: bluebox.sys

Изменения в файловой системе:

Создает следующие файлы:

%PROGRAM_FILES%\BlueBox\res_bluebox\topright.png
%PROGRAM_FILES%\BlueBox\res_bluebox\topright_bk.png
%PROGRAM_FILES%\BlueBox\res_bluebox\success.png
%PROGRAM_FILES%\BlueBox\res_bluebox\topbk.png
%PROGRAM_FILES%\BlueBox\res_bluebox\wait.gif
%PROGRAM_FILES%\BlueBox\res_bluebox\xuanqu_img1.png
%APPDATA%\BlueBox\config_update.xml
%PROGRAM_FILES%\BlueBox\res_bluebox\wait.png
%PROGRAM_FILES%\BlueBox\res_bluebox\warning.png
%PROGRAM_FILES%\BlueBox\res_bluebox\scroll_thumb.png
%PROGRAM_FILES%\BlueBox\res_bluebox\progress_bk.png
%PROGRAM_FILES%\BlueBox\res_bluebox\progress_fore.png
%PROGRAM_FILES%\BlueBox\res_bluebox\listtop.png
%PROGRAM_FILES%\BlueBox\res_bluebox\logo.png
%PROGRAM_FILES%\BlueBox\res_bluebox\progress_textbk.png
%PROGRAM_FILES%\BlueBox\res_bluebox\roundbk.png
%PROGRAM_FILES%\BlueBox\res_bluebox\scroll_bkgnd.png
%PROGRAM_FILES%\BlueBox\res_bluebox\prompt.png
%PROGRAM_FILES%\BlueBox\res_bluebox\refresh.png
%TEMP%\nsx9.tmp\BDMDownload.dll
%TEMP%\nsx9.tmp\dl.dll
%TEMP%\nsx9.tmp\res\onlineWnd.zip
%TEMP%\nsx9.tmp\BDMSkin.dll
%TEMP%\nsx9.tmp\hu.dll
%TEMP%\nsx9.tmp\tmpi8m_xw.dll
%ALLUSERSPROFILE%\Application Data\Baidu\Common\Global.db
%TEMP%\nsx9.tmp\BDLogicUtils.dll
%TEMP%\nsx9.tmp\BDMNetGetInfo.dll
%TEMP%\nsx9.tmp\System.dll
%PROGRAM_FILES%\BlueBox\bbfixer.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\install[1].1&softid=0&hid=11000000000000000001&macadd=00-00-00-00-00-01&md5=5E8CF0724013AA9F5A143908FC6B6709&rand=258828
%APPDATA%\BlueBox\list_soft.xml
%PROGRAM_FILES%\BlueBox\setting.ini
%APPDATA%\BlueBox\soft_installed.xml
%HOMEPATH%\Start Menu\Programs\蓝光宝盒\卸载蓝光宝盒.lnk
%TEMP%\nsc8.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\bluebox[1].html
%HOMEPATH%\Start Menu\Programs\蓝光宝盒\蓝光宝盒.lnk
%PROGRAM_FILES%\BlueBox\dsui.dll
%PROGRAM_FILES%\BlueBox\hgcounter.dll
%PROGRAM_FILES%\BlueBox\bbcomm.dll
%PROGRAM_FILES%\BlueBox\bbhelper.dll
%PROGRAM_FILES%\BlueBox\install.ico
%PROGRAM_FILES%\BlueBox\selfdestructor.bat
%PROGRAM_FILES%\BlueBox\setupplugins.dll
%PROGRAM_FILES%\BlueBox\license.txt
%PROGRAM_FILES%\BlueBox\main.ico
%PROGRAM_FILES%\BlueBox\BlueBox.exe
%TEMP%\list_soft.xml
%TEMP%\BlueBox_bsozhxmb_S_Setup.exe
%PROGRAM_FILES%\blue\BlueSoftSetup_bsozhxmb.exe
C:\BlueSoftSetup.log
%TEMP%\nsg5.tmp
%TEMP%\setupplugins.dll
%PROGRAM_FILES%\BlueBox\bluebox.sys
%TEMP%\nsb6.tmp\System.dll
%PROGRAM_FILES%\BlueBox\install.log
%PROGRAM_FILES%\BlueBox\res_bluebox\deficon.png
%PROGRAM_FILES%\BlueBox\res_bluebox\dividing_line.png
%PROGRAM_FILES%\BlueBox\res_bluebox\checkbox.png
%PROGRAM_FILES%\BlueBox\res_bluebox\corner.png
%PROGRAM_FILES%\BlueBox\res_bluebox\editbk.png
%PROGRAM_FILES%\BlueBox\res_bluebox\groupcapbk.png
%PROGRAM_FILES%\BlueBox\res_bluebox\grouptop.png
%PROGRAM_FILES%\BlueBox\res_bluebox\fail.png
%PROGRAM_FILES%\BlueBox\res_bluebox\frame.png
%PROGRAM_FILES%\BlueBox\res_bluebox\btnbk4.png
%PROGRAM_FILES%\BlueBox\uninst.ico
%PROGRAM_FILES%\BlueBox\res_bluebox\arrow.png
%PROGRAM_FILES%\BlueBox\statmgr.dll
%PROGRAM_FILES%\BlueBox\uninst.exe
%PROGRAM_FILES%\BlueBox\res_bluebox\bottombk.png
%PROGRAM_FILES%\BlueBox\res_bluebox\btnbk2_old.png
%PROGRAM_FILES%\BlueBox\res_bluebox\btnbk3.png
%PROGRAM_FILES%\BlueBox\res_bluebox\btnbk1.png
%PROGRAM_FILES%\BlueBox\res_bluebox\btnbk2.png

Удаляет следующие файлы:

%TEMP%\BlueBox_bsozhxmb_S_Setup.exe
%TEMP%\nsb6.tmp\System.dll
%TEMP%\setupplugins.dll

Сетевая активность:

Подключается к:

'up####.safe.my.iedun.cn':80
'localhost':1046
'12#.#25.114.144':80
'ap#.gsie.cn':80
'localhost':1036
'up####.u.gsie.cn':80
'12###.iboluo.cc':80

TCP:

Запросы HTTP GET:

ap#.gsie.cn/boxUpVer?ui#################################################################################################################
12###.iboluo.cc/bluebox.html?ac##################################################################################
up####.u.gsie.cn/install/?ve###########################################################################################################################################

UDP: