Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Brmas] 'Start' = '00000001'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\BlueSoft\C86DA4AD-186C-4dc2-A540-02E7B075F714\brmas_pc[bsvmen].exe'
- '%PROGRAM_FILES%\Brmas\bin\Brmas.exe'
- '%TEMP%\RarSFX0\WE.exe'
- '%TEMP%\RarSFX0\bluesoft_gho_bsvmen_inst.exe'
- '%PROGRAM_FILES%\BlueSoft\BlueSoft.exe' autoinstall
Запускает на исполнение:
- '%WINDIR%\explorer.exe'
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\7ZSfx000.cmd" "
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
Перехватывает следующие функции в SSDT (System Service Descriptor Table):
- NtQueryValueKey, драйвер-обработчик: Brmas.sys
- NtQuerySystemInformation, драйвер-обработчик: Brmas.sys
- NtReadFile, драйвер-обработчик: Brmas.sys
- NtTerminateProcess, драйвер-обработчик: Brmas.sys
- NtSetValueKey, драйвер-обработчик: Brmas.sys
- NtOpenKey, драйвер-обработчик: Brmas.sys
- NtDeleteKey, драйвер-обработчик: Brmas.sys
- NtCreateKey, драйвер-обработчик: Brmas.sys
- NtDeleteValueKey, драйвер-обработчик: Brmas.sys
- NtEnumerateValueKey, драйвер-обработчик: Brmas.sys
- NtEnumerateKey, драйвер-обработчик: Brmas.sys
Изменения в файловой системе:
Создает следующие файлы:
- %PROGRAM_FILES%\Brmas\bin\CheckList.dll
- %PROGRAM_FILES%\Brmas\bin\stat.dll
- %PROGRAM_FILES%\Brmas\bin\Brmas.dll
- %PROGRAM_FILES%\Brmas\bin\SysInfo.dll
- %PROGRAM_FILES%\Brmas\bin\HomeAssist.dll
- %PROGRAM_FILES%\Brmas\bin\InstallHelper.dll
- %TEMP%\CheckList.dll
- %PROGRAM_FILES%\Brmas\bin\install.log
- %TEMP%\nso6.tmp\System.dll
- %PROGRAM_FILES%\Brmas\bin\BrowserMgr.dll
- %PROGRAM_FILES%\Brmas\bin\Brmas.sys
- %PROGRAM_FILES%\Brmas\bin\Brmas.exe
- %HOMEPATH%\Start Menu\Programs\浏览器修复大师\浏览器修复大师.lnk
- %APPDATA%\Brmas\setting.ini
- %PROGRAM_FILES%\Brmas\setting.ini
- %PROGRAM_FILES%\Brmas\bin\ProtConfig.dat
- %TEMP%\nso6.tmp\SelfDel.dll
- %HOMEPATH%\Start Menu\Programs\浏览器修复大师\卸载 浏览器修复大师.lnk
- %PROGRAM_FILES%\Brmas\bin\brmas\db0.brmas
- %PROGRAM_FILES%\Brmas\bin\uninst.exe
- %PROGRAM_FILES%\Brmas\bin\ShellModules.exe
- %PROGRAM_FILES%\Brmas\bin\fixBrmas.exe
- %APPDATA%\Brmas\bin\brmas\db3.brmas
- %APPDATA%\Brmas\bin\brmas\db1.brmas
- %APPDATA%\BlueSoft\C86DA4AD-186C-4dc2-A540-02E7B075F714\Brmas_pc.exe
- %APPDATA%\BlueSoft\softlist.xml
- %PROGRAM_FILES%\BlueSoft\BlueSoft.exe
- %APPDATA%\BlueSoft\ExeIcon\360se.ico
- %APPDATA%\BlueSoft\ExeIcon\360sd.ico
- %APPDATA%\BlueSoft\ExeIcon\360Safe.ico
- %TEMP%\nss2.tmp
- %TEMP%\RarSFX0\WE.exe
- %TEMP%\RarSFX0\bluesoft_gho_bsvmen_inst.exe
- %TEMP%\nsi3.tmp\modern-wizard.bmp
- %TEMP%\nsi3.tmp\ioSpecial.ini
- %TEMP%\nsi3.tmp\System.dll
- %ALLUSERSPROFILE%\Start Menu\Programs\А¶№вИнјюѕ«СЎ\А¶№вИнјюѕ«СЎ.lnk
- %APPDATA%\BlueSoft\setting.ini
- %PROGRAM_FILES%\BlueSoft\Uninstall.exe
- %TEMP%\nsj5.tmp
- %TEMP%\7ZSfx000.cmd
- %ALLUSERSPROFILE%\Start Menu\Programs\А¶№вИнјюѕ«СЎ\Р¶ФШ А¶№вИнјюѕ«СЎ.lnk
- %APPDATA%\BlueSoft\ExeIcon\baidupinyin.ico
- %APPDATA%\BlueSoft\ExeIcon\baidubrowser.ico
- %APPDATA%\BlueSoft\ExeIcon\baiduan.ico
- %APPDATA%\BlueSoft\ExeIcon\qiyi.ico
- %APPDATA%\BlueSoft\ExeIcon\brmas.ico
- %APPDATA%\BlueSoft\ExeIcon\baidusd.ico
Удаляет следующие файлы:
- %TEMP%\CheckList.dll
- %TEMP%\RarSFX0\bluesoft_gho_bsvmen_inst.exe
- %TEMP%\nso6.tmp\SelfDel.dll
- %APPDATA%\BlueSoft\C86DA4AD-186C-4dc2-A540-02E7B075F714\brmas_pc[bsvmen].exe
- %TEMP%\nso6.tmp\System.dll
- %TEMP%\7ZSfx000.cmd
- %TEMP%\nsi3.tmp\modern-wizard.bmp
- %TEMP%\nsi3.tmp\ioSpecial.ini
- %TEMP%\nsi3.tmp\System.dll
- %TEMP%\RarSFX0\WE.exe
- %PROGRAM_FILES%\BlueSoft\Uninstall.exe
Перемещает следующие файлы:
- %APPDATA%\BlueSoft\C86DA4AD-186C-4dc2-A540-02E7B075F714\Brmas_pc.exe в %APPDATA%\BlueSoft\C86DA4AD-186C-4dc2-A540-02E7B075F714\brmas_pc[bsvmen].exe
Сетевая активность:
Подключается к:
- 'localhost':1048
- 'localhost':1046
- '12#.#25.114.144':80
UDP:
- DNS ASK dl##.baidu.com
- DNS ASK up####.u.gsie.cn
- DNS ASK up####.safe.my.iedun.cn
- DNS ASK www.ba##u.com
- DNS ASK do##.u.gsie.cn
- DNS ASK we####.baidu.com
Другое:
Ищет следующие окна:
- ClassName: '#32770' WindowName: ''
- ClassName: '85AD02CF-F95D-4f2c-8BCA-BDA546A35E63' WindowName: ''
- ClassName: 'BlueSoft_MainWnd' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
