Security Lab

Trojan-Dropper. Win32.Agent.cmds

Trojan-Dropper. Win32.Agent.cmds

Троянская программа, которая устанавливает и запускает другое программное обеспечение на зараженном компьютере без ведома пользователя.

Троянская программа, которая устанавливает и запускает другое программное обеспечение на зараженном компьютере без ведома пользователя. Является приложением Windows (PE-EXE файл). Имеет размер 441472 байта. Упакована при помощи ASPack. Распакованный размер — около 1626 KB. Написана на C++.


name="doc3">

Деструктивная активность

Данный троянец предназначен для установки и регистрации компонентов утилиты от China Internet Network Information Center(CNNIC). Эта утилита предназначена для облегчения доступа к доменным именам, в которых используются китайские иероглифы. Ориентирована на пользователей Интернет, владеющих китайским языком.

Если платформа ОС отличалась от Windows NT, тогда троянец завершает свое выполнение.

Удаляет следующий ключ системного реестра: 

[HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\
Image File Execution Options\idnsvr.exe]
Создает каталог со случайным именем: 
%Temp%\<rnd>
Где <rnd> - случайная буква латинского алфавита или цифра.

В созданный каталог извлекает файлы из своего тела: 

%Temp%\<rnd>\addrmsg.dll (69632 байта)
%Temp%\<rnd>\addrmsg.ini (6592 байта)
%Temp%\<rnd>\austr.dll (65536 байт)
%Temp%\<rnd>\cndsv.dll (73728 байт)
%Temp%\<rnd>\cnprov.dat (1899 байт)
%Temp%\<rnd>\cnprov.sys (189952 байта)
%Temp%\<rnd>\cnprovh.dll (73728 байт)
%Temp%\<rnd>\cnrbtn.html (486 байт)
%Temp%\<rnd>\cnstc.ini (1882 байта)
%Temp%\<rnd>\config.exe (126976 байт)
%Temp%\<rnd>\convf.dll (229376 байт)
%Temp%\<rnd>\cuscfg.dat (145 байт)
%Temp%\<rnd>\idnaux.dat (39 байт)
%Temp%\<rnd>\idnaux.sys (10688 байт)
%Temp%\<rnd>\idnreg.dll (36224 байта)
%Temp%\<rnd>\idnsvr.dll (77824 байта)
%Temp%\<rnd>\idnsvr.exe (97664 байта)
%Temp%\<rnd>\ieaux.dll (172032 байта)
%Temp%\<rnd>\kwacs.dat (16838 байт)
%Temp%\<rnd>\kwrep.dat (191 байт)
%Temp%\<rnd>\ocinfo.dat (8 байт)
%Temp%\<rnd>\path.dat (48 байт)
%Temp%\<rnd>\setup.dll (94208 байт)
%Temp%\<rnd>\setup.exe (28672 байта)
%Temp%\<rnd>\srchsp.dll (32768 байт)
%Temp%\<rnd>\uninstall.exe (159744 байта)
%Temp%\<rnd>\version.dat (482 байта)
После этого запускает на исполнение следующий файл с параметром "00010402": 
%Temp%\<rnd>\setup.exe 00010402
Запускаемый файл выполняет следующие действия:
  • извлеченные ранее файлы копирует с теми же именами в следующие каталоги: 
    %ProgramFiles%\OCINS\addrmsg.dll (69632 байта)
    %ProgramFiles%\OCINS\addrmsg.ini (6592 байта)
    %ProgramFiles%\OCINS\austr.dll (65536 байт)
    %ProgramFiles%\OCINS\cndsv.dll (73728 байт)
    %ProgramFiles%\OCINS\cnprovh.dll (73728 байт)
    %ProgramFiles%\OCINS\cnrbtn.html (486 байт)
    %ProgramFiles%\OCINS\cnstc.ini (1882 байта)
    %ProgramFiles%\OCINS\config.exe (126976 байт)
    %ProgramFiles%\OCINS\convf.dll (229376 байт)
    %ProgramFiles%\OCINS\cuscfg.dat (145 байт)
    %ProgramFiles%\OCINS\idnaux.dat (39 байт)
    %ProgramFiles%\OCINS\idnsvr.dll (77824 байта)
    %ProgramFiles%\OCINS\idnsvr.exe (97664 байта)
    %ProgramFiles%\OCINS\ieaux.dll (172032 байта)
    %ProgramFiles%\OCINS\kwacs.dat (16838 байт)
    %ProgramFiles%\OCINS\kwrep.dat (191 байт)
    %ProgramFiles%\OCINS\srchsp.dll (32768 байт)
    %ProgramFiles%\OCINS\uninstall.exe (159744 байта)
    %ProgramFiles%\OCINS\version.dat (482 байта)
    %System%\cnprov.dat (1899 байт)
    %System%\idnreg.dll (36224 байта)
    %System%\drivers\idnaux.sys (10688 байт)
    %System%\drivers\cnprov.sys (189952 байта)
  • удаляет файлы-ярлыки: 
    %UserProfile%\Главное меню\Программы\Автозагрузка\<rnd2>.lnk
    %UserProfile%\Главное меню\Программы\Автозагрузка\<rnd3>.lnk
    Где - имя текущего пользователя Windows; <rnd2> и <rnd3> - символы в китайской кодировке.
  • создает файл конфигурации, где хранит свои настройки: 
    %ProgramFiles%\OCINS\ctrcfg.ini
  • для контроля уникальности своего процесса в системе создает уникальный идентификатор с именем: 
    cdn_mutex_cdnins
  • Создает следующие ключи реестра для добавления кнопки панели инструментов в Windows Internet Explorer интерфейса пользователя: 
    [HKLM\SOFTWARE\Microsoft\Internet Explorer\
    Extensions\{B012491E-8FA4-4851-AA9B-22E33784FBAD}]
    "Default Visible" = "Yes"
    "ButtonText" = "Chinese Navigation"
    "MenuText" = "Chinese Navigation"
    "MenuStatusBar" = "Chinese Navigation"
    "HotIcon" = "\"%ProgramFiles%\OCINS\config.exe\",216"
    "Icon" = "\"%ProgramFiles%\OCINS\config.exe\",216"
    "CLSID" = "{1FBA04EE-3024-11D2-8F1F-0000F87ABD16}"
    "Exec" = "%ProgramFiles%\OCINS\config.exe"
    При запуске браузера кнопка выглядит следующим образом:

    При нажатии на кнопку отображает окно с настройками утилиты:

    Регистрирует в системе следующую библиотеку как Browser Helper Object (BHO): 

    %ProgramFiles%\OCINS\ieaux.dll
    При установке компонентов утилиты создаются следующие ключи реестра: 
    [HKCR\CLSID\{7605CC7C-00FD-4A5F-BAFD-828342DE6279}]
    "(default)" = "IEAux Class"

    [HKCR\CLSID\{7605CC7C-00FD-4A5F-BAFD-828342DE6279}\
    InprocServer32]
    "(default)" = "%ProgramFiles%\OCINS\ieaux.dll"
    "ThreadingModel" = "Apartment"

    [HKCR\CLSID\{7605CC7C-00FD-4A5F-BAFD-828342DE6279}\
    ProgID]
    "(default)" = "IEAux.IEHlprObj.1"

    [HKCR\CLSID\{7605CC7C-00FD-4A5F-BAFD-828342DE6279}\
    Programmable]

    [HKCR\CLSID\{7605CC7C-00FD-4A5F-BAFD-828342DE6279}\VersionIndependentProgID]
    "(default)" = "IEAux.IEHlprObj"

    [HKCR\IEAux.IEHlprObj.1\CLSID]
    "(default)" = "{7605CC7C-00FD-4A5F-BAFD-828342DE6279}"

    [HKCR\IEAux.IEHlprObj\CurVer]
    "(default)" = "IEAux.IEHlprObj.1"

    [HKCR\CLSID\{7605CC7C-00FD-4A5F-BAFD-828342DE6279}]
    "(default)" = "IEAux Class"

    [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\
    Explorer\Browser Helper Objects\{7605CC7C-00FD-4A5F-BAFD-828342DE6279}]

    [HKCR\TypeLib\{7605CC7B-00FD-4A5F-BAFD-828342DE6279}
    \1.0\0\win32]
    "(default)" = "%ProgramFiles%\OCINS\ieaux.dll"

    [HKCU\Software\Microsoft\Internet Explorer\MenuExt\
    &Access Internet Keyword]
    "(default)" = "%ProgramFiles%\OCINS\cnrbtn.html"
    "Contexts" = "7f"

    [HKLM\SOFTWARE\OCINS]
    "Version"="2.6.0.42"
    [HKLM\SYSTEM\CurrentControlSet\Services\cnprov]
    "DisplayName" = "cnprov"
    "DescriptionName" = "cnprov"
    "ImagePath" = "%System%\drivers\cnprov.sys"
    "Group"="Boot System Extenders"
    "Start" = "0"
    "Type" = "1"
    "ErrorControl" = "1"

    [HKLM\SYSTEM\CurrentControlSet\Services\idnaux]
    "DependOnService" = "Tcpip"
    "DisplayName" = "idnaux"
    "DescriptionName" = "idnaux"
    "Group" = "PNP_TDI"
    "ImagePath" = "%System%\drivers\idnaux.sys"
    "Start" = "2"
    "Type" = "1"
    "ErrorControl" = "1"
  • Разрешает сторонние расширения обозревателя: 
    [HKCU\Software\Microsoft\Internet Explorer\Main]
    "Enable Browser Extensions" = "yes"
  • В зависимости от локали устанавливает поисковую систему, используемую Internet Explorer по умолчанию: 
    [HKLM\SOFTWARE\Microsoft\Internet Explorer\Search]
    SearchAssistant = <search system domain>
    CustomizeSearch = <search system domain2>
    Где <search system domain> - один из следующих ресурсов: 
    http://clie***go.cn/cdn/browser/sidesearch/sidesearch-cn.html
    http://clie***go.cn/cdn/browser/sidesearch/sidesearch-tw.html
    http://clie***go.cn/cdn/browser/sidesearch/sidesearch-en.html
    Где <search system domain2> - один из следующих ресурсов: 
    http://clie***go.cn/cdn/browser/customsearch/customsearch-en.html  
    http://clie***go.cn/cdn/browser/customsearch/customsearch-tw.html  
    http://clie***go.cn/cdn/browser/customsearch/customsearch-cn.html
    •

    Ищем баги вместе! Но не те, что в продакшене...

    Разбираем кейсы, делимся опытом, учимся на чужих ошибках

    Зафиксируйте уязвимость своих знаний — подпишитесь!