Троянская программа, предоставляющая злоумышленнику удаленный доступ к зараженному компьютеру. Является приложением Windows (PE-EXE файл). Имеет размер 77824 байта. Написана на С++.
- Если имя было произвольным, тогда вредонос ищет процесс с именем "cfp.exe". Если данный процесс был запущен, тогда вредоносная программа перемещает свое оригинальное тело во временный каталог текущего пользователя Windows со случайным именем "~TMrnd.tmp" (где rnd - случайный набор латинских букв и цифр):
%Temp%/~TMrnd.tmp
и завершает свое выполнение.
Если же процесс "cfp.exe" не был обнаружен, тогда вредоносная программа создает копию своего оригинального тела:
%Temp%/~TM54EA3A.TMP
После чего производит внедрение своего тела в адресное пространство процесса с именем "explorer.exe".
Далее перемещает свое тело во временный каталог текущего пользователя Windows:
%Temp%/~TMrnd.tmp
Если имя было "explorer.exe", тогда вредонос создает уникальный идентификатор для контроля уникальности своего потока в системе с именем:
_SYSTEM_4D2EF3A_
Далее проверяет наличие файла:
%Temp%/~TM27FB4A.TMP
при обнаружении данного файла, читает значение параметра ключа системного реестра:
[HKCUSoftware/Microsoft/Windows/CurrentVersion/Explorer/Shell Folders]
"Startup" =
В данном ключе реестра находится путь к каталогу автозапуска Windows.
После этого перемещает обнаруженный файл:
%Temp%/~TM27FB4A.TMP
в файл каталога автозапуска Windows:
{каталог автозапуска Windows}/isqsys32.exe
Данному файлу вредонос устанавливает атрибуты "только чтение" и "системный", а также дату создания, такую как у системного файла:
%System%/smss.exe
Обычно каталог автозапуска Windows находится по следующему пути:
C:/Documents and Settings/{имя текущего пользователя Windows}/Главное меню/Программы/Автозагрузка
Затем вредонос создает и запускает процесс с именем "svchost.exe", в адресное пространство данного процесса внедряет вредоносный код.
- Если имя было"isqsys32.exe", тогда вредонос ищет процесс с именем "cfp.exe". Если данный процесс был запущен, тогда вредоносная программа перемещает свое оригинальное тело во временный каталог текущего пользователя Windows со случайным именем "~TMrnd.tmp" (где rnd - случайный набор латинских букв и цифр):
%Temp%/~TMrnd.tmp
и завершает свое выполнение.
Если же процесс "cfp.exe" не был обнаружен, тогда создает и запускает процесс с именем "svchost.exe", в адресное пространство данного процесса внедряет вредоносный код.
Во время своей работы вредоносная программа производит поиск перехватчиков в следующих функциях библиотек "kernel32.dll" и "ntdll.dll":
CreateRemoteThread
WriteProcessMemory
VirtualProtectEx
VirtualAllocEx
NtAllocateVirtualMemory
NtWriteVirtualMemory
NtProtectVirtualMemory
NtCreateThread
NtAdjustPrivilegesToken
NtOpenProcess
NtOpenThread
NtQueueApcThread
NtSetValueKey
при обнаружении снимает их. Для этого создает временные копии вышеупомянутых библиотек во временном каталоге текущего пользователя Windows со случайными именами:
%Temp%/~TMrnd.tmp
Таким образом вредонос противодействует технологиям автоматического анализа программ для обнаружения их вредоносной активности.
Произведя внедрение в адресное пространство созданного процесса "svchost.exe", вредоносная программа в бесконечном цикле отправляет запросы на следующий ресурс:
m*********tem.ru
запрос выглядит следующим образом:
GET /pu******r.php?action=bot&entity_list=&uid=&first={"0" или "1" — в зависимости от количества запусков}&guid={серийный
номер тома}&v=15&rnd=8520045
По данному запросу получает другие вредоносные файлы и ключи их расшифровки. Расшифрованные вредоносные программы записывает во временный каталог текущего пользователя Windows с именами "wpvrnd2.exe", (где rnd2 - случайный набор цифр). На момент создания описания загружались следующие файлы:
%Temp%/wpvrnd2.exe — 38400 байт, детектируется антивирусом
Касперского как Packed.Win32.Krap.x
%Temp%/wpvrnd2.exe — 23040 байт, детектируется антивирусом
Касперского как Packed.Win32.Krap.w
%Temp%/wpvrnd2.exe — 89088 байт, детектируется антивирусом
Касперского как Packed.Win32.Krap.x
%Temp%/wpvrnd2.exe – 53248 байт, детектируется антивирусом
Касперского как Packed.Win32.Krap.x.
После успешного сохранения файлы запускаются на исполнение.
Далее вредонос отправляет второй запрос:
GET /pu******r.php?action=report&guid=0&rnd=8520045&uid=&entity=1260187840
После чего производит запись в свой лог-файл:
%Application Data%/wiaservg.log
Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:
