Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'BlueSoft' = '%PROGRAM_FILES%\BlueSoft\BlueSoft.exe silent'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Brmas] 'Start' = '00000001'
Вредоносные функции:
Создает и запускает на исполнение:
- '%PROGRAM_FILES%\Brmas\bin\Brmas.exe'
- '%APPDATA%\BlueSoft\C86DA4AD-186C-4dc2-A540-02E7B075F714\blueview_silent[bsrtex].exe' /norestart
- '%TEMP%\is-9T88F.tmp\blueview_silent[bsrtex].tmp' /SL5="$30106,663518,83456,%APPDATA%\BlueSoft\C86DA4AD-186C-4dc2-A540-02E7B075F714\blueview_silent[bsrtex].exe" /norestart
- '%WINDIR%\Temp\bluesoft_gho_bsrtex_inst.exe'
- '%PROGRAM_FILES%\BlueSoft\BlueSoft.exe' autoinstall
- '%APPDATA%\BlueSoft\C86DA4AD-186C-4dc2-A540-02E7B075F714\brmas_pc[bsrtex].exe'
Перехватывает следующие функции в SSDT (System Service Descriptor Table):
- NtQuerySystemInformation, драйвер-обработчик: Brmas.sys
- NtQueryInformationProcess, драйвер-обработчик: Brmas.sys
- NtOpenProcess, драйвер-обработчик: Brmas.sys
- NtSetValueKey, драйвер-обработчик: Brmas.sys
- NtReadFile, драйвер-обработчик: Brmas.sys
- NtQueryValueKey, драйвер-обработчик: Brmas.sys
- NtDeleteValueKey, драйвер-обработчик: Brmas.sys
- NtDeleteKey, драйвер-обработчик: Brmas.sys
- NtCreateKey, драйвер-обработчик: Brmas.sys
- NtOpenKey, драйвер-обработчик: Brmas.sys
- NtEnumerateValueKey, драйвер-обработчик: Brmas.sys
- NtEnumerateKey, драйвер-обработчик: Brmas.sys
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\BlueView\icon\is-KI32D.tmp
- %APPDATA%\BlueView\icon\is-GCR3E.tmp
- %APPDATA%\BlueView\icon\is-41H8R.tmp
- %APPDATA%\BlueView\icon\is-HRM5B.tmp
- %APPDATA%\BlueView\icon\is-KVFTC.tmp
- %APPDATA%\BlueView\icon\is-DGKKV.tmp
- %APPDATA%\BlueView\icon\is-VF2HH.tmp
- %APPDATA%\BlueView\icon\is-41QSG.tmp
- %APPDATA%\BlueView\icon\is-U3MEQ.tmp
- %APPDATA%\BlueView\icon\is-SPN72.tmp
- %APPDATA%\BlueView\icon\is-DKCS6.tmp
- %APPDATA%\BlueView\is-K3OSH.tmp
- %APPDATA%\BlueView\icon\is-L1TB9.tmp
- %PROGRAM_FILES%\BlueView\is-HHRGD.tmp
- %TEMP%\is-JN6J5.tmp\setup_btn2.bmp
- %PROGRAM_FILES%\BlueView\is-IBM0L.tmp
- %APPDATA%\BlueView\icon\is-LPEBE.tmp
- %APPDATA%\BlueView\icon\is-PO4O6.tmp
- %APPDATA%\BlueView\icon\is-MB43U.tmp
- %APPDATA%\BlueView\icon\is-69JGC.tmp
- %APPDATA%\BlueView\icon\is-A89I3.tmp
- %APPDATA%\BlueView\icon\is-PNHBK.tmp
- %ALLUSERSPROFILE%\Start Menu\Programs\А¶№вдЇААЖч\А¶№вдЇААЖч.lnk
- %ALLUSERSPROFILE%\Start Menu\А¶№вдЇААЖч.lnk
- %PROGRAM_FILES%\BlueView\uninstall\is-6JG0L.tmp
- %PROGRAM_FILES%\BlueView\uninstall\is-3VG2N.tmp
- %PROGRAM_FILES%\BlueView\uninstall\is-75OIR.tmp
- %PROGRAM_FILES%\BlueView\unins000.msg
- %PROGRAM_FILES%\BlueView\unins000.dat
- %APPDATA%\Microsoft\Internet Explorer\Quick Launch\А¶№вдЇААЖч.lnk
- %ALLUSERSPROFILE%\Start Menu\Programs\А¶№вдЇААЖч\Р¶ФШ А¶№вдЇААЖч.lnk
- %ALLUSERSPROFILE%\Desktop\А¶№вдЇААЖч.lnk
- %PROGRAM_FILES%\BlueView\uninstall\is-BV9EO.tmp
- %APPDATA%\BlueView\icon\is-VIT38.tmp
- %APPDATA%\BlueView\icon\is-ESJVD.tmp
- %APPDATA%\BlueView\icon\is-NGER8.tmp
- %APPDATA%\BlueView\icon\is-86I68.tmp
- %APPDATA%\BlueView\icon\is-R9G4N.tmp
- %PROGRAM_FILES%\BlueView\uninstall\is-PPMBM.tmp
- %PROGRAM_FILES%\BlueView\uninstall\is-BJ0DQ.tmp
- %PROGRAM_FILES%\BlueView\uninstall\is-NO0EM.tmp
- %APPDATA%\BlueView\icon\is-5SSHD.tmp
- %PROGRAM_FILES%\BlueView\uninstall\is-SPU5O.tmp
- %ALLUSERSPROFILE%\Start Menu\Programs\А¶№вИнјюѕ«СЎ\Р¶ФШ А¶№вИнјюѕ«СЎ.lnk
- %TEMP%\nsm4.tmp
- %ALLUSERSPROFILE%\Start Menu\Programs\А¶№вИнјюѕ«СЎ\А¶№вИнјюѕ«СЎ.lnk
- %PROGRAM_FILES%\BlueSoft\Uninstall.exe
- %APPDATA%\BlueSoft\setting.ini
- %PROGRAM_FILES%\Brmas\bin\Brmas.sys
- %PROGRAM_FILES%\Brmas\bin\Brmas.dll
- %PROGRAM_FILES%\Brmas\bin\Brmas.exe
- %TEMP%\CheckList.dll
- %TEMP%\nsa5.tmp\System.dll
- %APPDATA%\BlueSoft\ExeIcon\taobao.ico
- %APPDATA%\BlueSoft\C86DA4AD-186C-4dc2-A540-02E7B075F714\blueview_silent.exe
- %APPDATA%\BlueSoft\C86DA4AD-186C-4dc2-A540-02E7B075F714\brmas_pc.exe
- %APPDATA%\BlueSoft\softlist.xml
- %WINDIR%\Temp\bluesoft_gho_bsrtex_inst.exe
- %PROGRAM_FILES%\BlueSoft\BlueSoft.exe
- %APPDATA%\BlueSoft\ExeIcon\hao123.ico
- %APPDATA%\BlueSoft\ExeIcon\jingdong.ico
- %APPDATA%\BlueSoft\ExeIcon\brmas.ico
- %APPDATA%\BlueSoft\ExeIcon\baidu.ico
- %APPDATA%\BlueSoft\ExeIcon\blueview.ico
- %PROGRAM_FILES%\Brmas\bin\BrowserMgr.dll
- %TEMP%\is-JN6J5.tmp\mainbk.bmp
- %TEMP%\is-JN6J5.tmp\setup_logo.bmp
- %TEMP%\is-JN6J5.tmp\install.ico
- %TEMP%\is-JN6J5.tmp\_isetup\_RegDLL.tmp
- %TEMP%\is-JN6J5.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-JN6J5.tmp\StretchLine.bmp
- %TEMP%\is-JN6J5.tmp\changeDir_btn.bmp
- %TEMP%\is-JN6J5.tmp\top_bk.bmp
- %TEMP%\is-JN6J5.tmp\setup_logo2.bmp
- %TEMP%\is-JN6J5.tmp\setup_btn.bmp
- %TEMP%\is-9T88F.tmp\blueview_silent[bsrtex].tmp
- %PROGRAM_FILES%\Brmas\bin\brmas\db3.brmas
- %PROGRAM_FILES%\Brmas\bin\uninst.exe
- %PROGRAM_FILES%\Brmas\bin\brmas\db1.brmas
- %PROGRAM_FILES%\Brmas\bin\stat.dll
- %PROGRAM_FILES%\Brmas\bin\brmas\db0.brmas
- %PROGRAM_FILES%\Brmas\bin\iexplore.lnk
- %PROGRAM_FILES%\Brmas\bin\ProtConfig.dat
- %HOMEPATH%\Start Menu\Programs\浏览器修复大师\卸载 浏览器修复大师.lnk
- %PROGRAM_FILES%\Brmas\setting.ini
- %HOMEPATH%\Start Menu\Programs\浏览器修复大师\浏览器修复大师.lnk
Удаляет следующие файлы:
- %TEMP%\nsa5.tmp\System.dll
- %TEMP%\CheckList.dll
Перемещает следующие файлы:
- %APPDATA%\BlueView\icon\is-NGER8.tmp в %APPDATA%\BlueView\icon\www.taobao.com.ico
- %APPDATA%\BlueView\icon\is-R9G4N.tmp в %APPDATA%\BlueView\icon\www.sohu.com.ico
- %APPDATA%\BlueView\icon\is-ESJVD.tmp в %APPDATA%\BlueView\icon\www.vancl.com.ico
- %APPDATA%\BlueView\icon\is-VIT38.tmp в %APPDATA%\BlueView\icon\www.tmall.com.ico
- %APPDATA%\BlueView\icon\is-86I68.tmp в %APPDATA%\BlueView\icon\www.sina.com.cn.ico
- %APPDATA%\BlueView\icon\is-DGKKV.tmp в %APPDATA%\BlueView\icon\www.meituan.com.ico
- %APPDATA%\BlueView\icon\is-41QSG.tmp в %APPDATA%\BlueView\icon\www.kaixin001.com.ico
- %APPDATA%\BlueView\icon\is-PNHBK.tmp в %APPDATA%\BlueView\icon\www.qq.com.ico
- %APPDATA%\BlueView\icon\is-VF2HH.tmp в %APPDATA%\BlueView\icon\www.microsoft.com.ico
- %PROGRAM_FILES%\BlueView\uninstall\is-3VG2N.tmp в %PROGRAM_FILES%\BlueView\uninstall\close_btn.bmp
- %PROGRAM_FILES%\BlueView\uninstall\is-BV9EO.tmp в %PROGRAM_FILES%\BlueView\uninstall\cancel_btn.bmp
- %PROGRAM_FILES%\BlueView\uninstall\is-6JG0L.tmp в %PROGRAM_FILES%\BlueView\uninstall\unsetup_logo2.bmp
- %PROGRAM_FILES%\BlueView\uninstall\is-75OIR.tmp в %PROGRAM_FILES%\BlueView\uninstall\unsetup_logo.bmp
- %PROGRAM_FILES%\BlueView\uninstall\is-BJ0DQ.tmp в %PROGRAM_FILES%\BlueView\uninstall\unsetup_btn.bmp
- %PROGRAM_FILES%\BlueView\uninstall\is-SPU5O.tmp в %PROGRAM_FILES%\BlueView\uninstall\mainbk.bmp
- %APPDATA%\BlueView\icon\is-5SSHD.tmp в %APPDATA%\BlueView\icon\www.youku.com.ico
- %PROGRAM_FILES%\BlueView\uninstall\is-PPMBM.tmp в %PROGRAM_FILES%\BlueView\uninstall\StretchLine.bmp
- %PROGRAM_FILES%\BlueView\uninstall\is-NO0EM.tmp в %PROGRAM_FILES%\BlueView\uninstall\top_bk.bmp
- %APPDATA%\BlueView\icon\is-SPN72.tmp в %APPDATA%\BlueView\icon\www.jd.com.ico
- %APPDATA%\BlueView\icon\is-69JGC.tmp в %APPDATA%\BlueView\icon\baidu.iblueview.com.ico
- %APPDATA%\BlueView\icon\is-L1TB9.tmp в %APPDATA%\BlueView\icon\baidu.gsie.cn.ico
- %APPDATA%\BlueView\icon\is-MB43U.tmp в %APPDATA%\BlueView\icon\game.gsie.cn.ico
- %APPDATA%\BlueView\icon\is-A89I3.tmp в %APPDATA%\BlueView\icon\baidu.lvseie.com.ico
- %APPDATA%\BlueView\is-K3OSH.tmp в %APPDATA%\BlueView\setting.ini
- %APPDATA%\BlueSoft\C86DA4AD-186C-4dc2-A540-02E7B075F714\brmas_pc.exe в %APPDATA%\BlueSoft\C86DA4AD-186C-4dc2-A540-02E7B075F714\brmas_pc[bsrtex].exe
- %APPDATA%\BlueSoft\C86DA4AD-186C-4dc2-A540-02E7B075F714\blueview_silent.exe в %APPDATA%\BlueSoft\C86DA4AD-186C-4dc2-A540-02E7B075F714\blueview_silent[bsrtex].exe
- %PROGRAM_FILES%\BlueView\is-HHRGD.tmp в %PROGRAM_FILES%\BlueView\BlueView.exe
- %PROGRAM_FILES%\BlueView\is-IBM0L.tmp в %PROGRAM_FILES%\BlueView\unins000.exe
- %APPDATA%\BlueView\icon\is-KI32D.tmp в %APPDATA%\BlueView\icon\www.dianping.com.ico
- %APPDATA%\BlueView\icon\is-41H8R.tmp в %APPDATA%\BlueView\icon\www.dangdang.com.ico
- %APPDATA%\BlueView\icon\is-U3MEQ.tmp в %APPDATA%\BlueView\icon\www.hao123.com.ico
- %APPDATA%\BlueView\icon\is-GCR3E.tmp в %APPDATA%\BlueView\icon\www.google.com.hk.ico
- %APPDATA%\BlueView\icon\is-KVFTC.tmp в %APPDATA%\BlueView\icon\www.baidu.com.ico
- %APPDATA%\BlueView\icon\is-PO4O6.tmp в %APPDATA%\BlueView\icon\weibo.com.ico
- %APPDATA%\BlueView\icon\is-LPEBE.tmp в %APPDATA%\BlueView\icon\pindao.huoban.taobao.com.ico
- %APPDATA%\BlueView\icon\is-HRM5B.tmp в %APPDATA%\BlueView\icon\www.2345.com.ico
- %APPDATA%\BlueView\icon\is-DKCS6.tmp в %APPDATA%\BlueView\icon\www.163.com.ico
Сетевая активность:
Подключается к:
- 'localhost':1044
- 'localhost':1047
- '12#.#25.114.144':80
- 'localhost':1041
UDP:
- DNS ASK up####.safe.my.iedun.cn
- DNS ASK www.ib###view.com
- DNS ASK up####.iblueview.com
- DNS ASK www.ba##u.com
- DNS ASK up####.u.gsie.cn
- DNS ASK www.download.windowsupdate.com
Другое:
Ищет следующие окна:
- ClassName: '85AD02CF-F95D-4f2c-8BCA-BDA546A35E63' WindowName: '(null)'
- ClassName: 'BVIE_MainWnd' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'BlueSoft_MainWnd' WindowName: '(null)'
