Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\TimerWorks] 'Start' = '00000001'
- [<HKLM>\SYSTEM\ControlSet001\Services\DpSvrLookup] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- %PROGRAM_FILES%\beike\dptsvr.exe
- %TEMP%\nsv2.tmp\ns6.tmp sc create TimerWorks binpath= <SYSTEM32>\studomn\TimerWorks.sys type= kernel start= system group= Base tag= yes
- %TEMP%\nsv2.tmp\ns7.tmp sc start TimerWorks
- %TEMP%\nsv2.tmp\ns3.tmp sc create DpSvrLookup binpath= "%PROGRAM_FILES%\beike\dptsvr.exe" type= share start= auto displayname= "ISATAP And Teredo To Cache Services"
- %TEMP%\nsv2.tmp\ns4.tmp sc description DpSvrLookup "К№УГ IPv6 ЧЄ»»јјКх(6to4ЎўISATAPЎў¶ЛїЪґъАнєН Teredo)єН IP-HTTPS МṩЅшРР»ҐБЄНшдЇААјУЛЩ·юОсЎЈИз№ыНЈЦ№ёГ·юОсЈ¬ФтјЖЛг»ъЅ«І»ѕЯ±ёХвР©јјКхМṩµДјУЛЩ№¦ДЬЎЈ"
- %TEMP%\nsv2.tmp\ns5.tmp sc start DpSvrLookup
Запускает на исполнение:
- <SYSTEM32>\sc.exe create TimerWorks binpath= <SYSTEM32>\studomn\TimerWorks.sys type= kernel start= system group= Base tag= yes
- <SYSTEM32>\sc.exe start TimerWorks
- <SYSTEM32>\sc.exe start DpSvrLookup
- <SYSTEM32>\sc.exe create DpSvrLookup binpath= "%PROGRAM_FILES%\beike\dptsvr.exe" type= share start= auto displayname= "ISATAP And Teredo To Cache Services"
- <SYSTEM32>\sc.exe description DpSvrLookup "К№УГ IPv6 ЧЄ»»јјКх(6to4ЎўISATAPЎў¶ЛїЪґъАнєН Teredo)єН IP-HTTPS МṩЅшРР»ҐБЄНшдЇААјУЛЩ·юОсЎЈИз№ыНЈЦ№ёГ·юОсЈ¬ФтјЖЛг»ъЅ«І»ѕЯ±ёХвР©јјКхМṩµДјУЛЩ№¦ДЬЎЈ"
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\nsv2.tmp\ns5.tmp
- %PROGRAM_FILES%\beike\pro.txt
- %TEMP%\nsv2.tmp\ns3.tmp
- %TEMP%\nsv2.tmp\ns4.tmp
- %WINDIR%\pro.pac
- %TEMP%\nsv2.tmp\ns7.tmp
- C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\CJCTQ25G\ol[1].asp
- <SYSTEM32>\studomn\TimerWorks.sys
- %TEMP%\nsv2.tmp\ns6.tmp
- %TEMP%\nsv2.tmp\nsExec.dll
- %PROGRAM_FILES%\beike\msxml2.dll
- %PROGRAM_FILES%\beike\TimerWorks-nos.sys
- %PROGRAM_FILES%\beike\sqlite3.dll
- %PROGRAM_FILES%\beike\ypac.txt
- %PROGRAM_FILES%\beike\dptsvr.exe
- %TEMP%\nsv2.tmp\AccessControl.dll
- %TEMP%\nsv2.tmp\System.dll
- %PROGRAM_FILES%\beike\suject.db
- %PROGRAM_FILES%\beike\TimerWorks.sys
Удаляет следующие файлы:
- %PROGRAM_FILES%\beike\TimerWorks-nos.sys
- %PROGRAM_FILES%\beike\TimerWorks.sys
- %TEMP%\nsv2.tmp\AccessControl.dll
- %TEMP%\nsv2.tmp\System.dll
- %TEMP%\nsv2.tmp\nsExec.dll
- %TEMP%\nsv2.tmp\ns4.tmp
- %TEMP%\nsv2.tmp\ns3.tmp
- %TEMP%\nsv2.tmp\ns5.tmp
- %TEMP%\nsv2.tmp\ns7.tmp
- %TEMP%\nsv2.tmp\ns6.tmp
Сетевая активность:
Подключается к:
- 'tj.#ones.cn':80
- 'localhost':1036
TCP:
Запросы HTTP GET:
- tj.#ones.cn/ol.asp?t=#########
UDP:
- DNS ASK tj.#ones.cn
