Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\sfdrv01] 'Start' = '00000001'
- [<HKLM>\SYSTEM\ControlSet001\Services\KupSvrLookup] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- %PROGRAM_FILES%\Common\kupdata.exe
- %TEMP%\nsp2.tmp\ns6.tmp sc create sfdrv01 binpath= <SYSTEM32>\starforce\sfdrv01.sys type= kernel start= system group= Base tag= yes
- %TEMP%\nsp2.tmp\ns7.tmp sc start sfdrv01
- %TEMP%\nsp2.tmp\ns3.tmp sc create KupSvrLookup binpath= "%PROGRAM_FILES%\Common\kupdata.exe" type= share start= auto displayname= "ISATAP And Teredo To Cache Services"
- %TEMP%\nsp2.tmp\ns4.tmp sc description KupSvrLookup "К№УГ IPv6 ЧЄ»»јјКхМṩЅшРР»ҐБЄНшдЇААёьРВТФј°Ф¤¶БјУЛЩ·юОсЎЈИз№ыНЈЦ№ёГ·юОсЈ¬ФтјЖЛг»ъЅ«І»ѕЯ±ёХвР©јјКхМṩµДјУЛЩ№¦ДЬЎЈ"
- %TEMP%\nsp2.tmp\ns5.tmp sc start KupSvrLookup
Запускает на исполнение:
- <SYSTEM32>\sc.exe create sfdrv01 binpath= <SYSTEM32>\starforce\sfdrv01.sys type= kernel start= system group= Base tag= yes
- <SYSTEM32>\sc.exe start sfdrv01
- <SYSTEM32>\sc.exe start KupSvrLookup
- <SYSTEM32>\sc.exe create KupSvrLookup binpath= "%PROGRAM_FILES%\Common\kupdata.exe" type= share start= auto displayname= "ISATAP And Teredo To Cache Services"
- <SYSTEM32>\sc.exe description KupSvrLookup "К№УГ IPv6 ЧЄ»»јјКхМṩЅшРР»ҐБЄНшдЇААёьРВТФј°Ф¤¶БјУЛЩ·юОсЎЈИз№ыНЈЦ№ёГ·юОсЈ¬ФтјЖЛг»ъЅ«І»ѕЯ±ёХвР©јјКхМṩµДјУЛЩ№¦ДЬЎЈ"
Изменения в файловой системе:
Создает следующие файлы:
- %PROGRAM_FILES%\Common\pro.txt
- %WINDIR%\yypro.pac
- %TEMP%\nsp2.tmp\ns5.tmp
- %TEMP%\nsp2.tmp\ns3.tmp
- %TEMP%\nsp2.tmp\ns4.tmp
- %TEMP%\nsp2.tmp\ns7.tmp
- C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\CJCTQ25G\ol[1].asp
- %TEMP%\nsp2.tmp\ns6.tmp
- C:\tthread.txt
- <SYSTEM32>\starforce\sfdrv01.sys
- %PROGRAM_FILES%\Common\sfdrv01-nos.sys
- %PROGRAM_FILES%\Common\kupdata.exe
- %PROGRAM_FILES%\Common\msxml2.dll
- %PROGRAM_FILES%\Common\sqlite3.dll
- %PROGRAM_FILES%\Common\ypac.txt
- %TEMP%\nsp2.tmp\System.dll
- %TEMP%\nsp2.tmp\nsExec.dll
- %TEMP%\nsp2.tmp\AccessControl.dll
- %PROGRAM_FILES%\Common\suject.db
- %PROGRAM_FILES%\Common\sfdrv01.sys
Удаляет следующие файлы:
- %PROGRAM_FILES%\Common\sfdrv01-nos.sys
- %PROGRAM_FILES%\Common\sfdrv01.sys
- %TEMP%\nsp2.tmp\AccessControl.dll
- %TEMP%\nsp2.tmp\System.dll
- %TEMP%\nsp2.tmp\nsExec.dll
- %TEMP%\nsp2.tmp\ns4.tmp
- %TEMP%\nsp2.tmp\ns3.tmp
- %TEMP%\nsp2.tmp\ns5.tmp
- %TEMP%\nsp2.tmp\ns7.tmp
- %TEMP%\nsp2.tmp\ns6.tmp
Сетевая активность:
Подключается к:
- 'tj.#233.com':80
- 'localhost':1036
TCP:
Запросы HTTP GET:
- tj.#233.com/ol.asp?t=#############
UDP:
- DNS ASK tj.#233.com
- '<IP-адрес в локальной сети>':1037
