BKDR_EVILOGE.SM

它执行远程恶意用户的命令，有效地攻击受感染的系统。 它连接到网站，发送和接收信息。

它会从受感染的系统检索特定信息。

安装

它在受感染的系统中植入下列自身副本：

• %Application Data%\360\Live360.exe
• %Application Data%\temp\temp1.exe

(注意: %Application Data% 是当前用户的 Application Data 文件夹，通常位于 C:\Windows\Profiles\{user name}\Application Data (Windows 98 和 ME)、C:\WINNT\Profiles\{user name}\Application Data (Windows NT) 和 C:\Documents and Settings\{user name}\Local Settings\Application Data (Windows 2000、XP 和 Server 2003)。)

它添加下列进程：

• svchost.exe

它创建下列文件夹：

• %Application Data%\360
• %Application Data%\temp

(注意: %Application Data% 是当前用户的 Application Data 文件夹，通常位于 C:\Windows\Profiles\{user name}\Application Data (Windows 98 和 ME)、C:\WINNT\Profiles\{user name}\Application Data (Windows NT) 和 C:\Documents and Settings\{user name}\Local Settings\Application Data (Windows 2000、XP 和 Server 2003)。)

它通过向下列进程中注入代码来驻留在内存中：

• svchost.exe

自启动技术

它添加下列注册表项，在系统每次启动时自行执行：

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
UKey = "%Application Data%\360\Live360.exe"

其他系统修改

它添加下列注册表键值:

HKEY_LOCAL_MACHINE\SOFTWARE\rar

HKEY_CURRENT_USER\Software\rar

它添加下列注册表项：

HKEY_LOCAL_MACHINE\SOFTWARE\rar
data = "{random characters}"

HKEY_LOCAL_MACHINE\SOFTWARE\rar
s = "{random characters}"

HKEY_LOCAL_MACHINE\SOFTWARE\rar
ActiveSettings = "{random characters}"

后门例程

它执行远程恶意用户的下列命令：

• Log keystrokes
• Download and execute file(s)
• Manipulate files
• Manipulate directories
• Steals user credentials such as user name and passwords, which are related to the following applications:
  • Internet Explorer Password-Protected sites
  • Microsoft Outlook
  • HTTP
  • IMAP
  • Protected Storage
  • POP3
  • SMTP
  • HTTPMail
  • Windows Messaging

它连接到下列网站，发送和接收信息：

• http://www.{BLOCKED}k.hk

进程终止

它终止在受感染系统的内存中运行的含有下列任一字符串的进程或服务:

• 360Safe
• 360safe.exe
• 360sd.exe
• 360tray.exe
• AVGIDSMonitor.exe
• Avast
• FProt
• FProtTray.exe
• FrzState2K.exe
• KAVsvc.exe
• KSafeTray.exe
• KVwsc.exe
• LiveUpdate360
• MPMon.exe
• Mcafee
• Mcshield.exe
• NOD32
• RavMon.exe
• RavMonD.exe
• RsTray.exe
• SfCtlCom.exe
• UfNavi.exe
• UfSeAgnt.exe
• WinMe
• ZhuDongFangYu.exe
• ashServ.exe
• avgrsx.exe
• avp.exe
• ccSvcHst.exe
• ekrn.exe
• explorer.exe
• kav.exe
• kwstray.exe
• kxetray
• nod32krn.exe
• nscsrvce.exe
• ravtask.exe
• rising.exe
• rtvscan.exe
• ESET Filter Service
• ESET5

植入例程

它植入下列文件用于其按键记录例程：

• %User Profile%\users.bin - Contains keystroke logs

(注意: %User Profile% 是当前用户的概要文件文件夹，通常位于 C:\Windows\Profiles\{user name} (Windows 98 和 ME)、C:\WINNT\Profiles\{user name} (Windows NT) 和 C:\Documents and Settings\{user name} (Windows 2000、XP 和 Server 2003)。)

信息窃取

它会从受感染的系统检索以下信息:

• Local IP address
• Operating system
• Computer name
• User name
• Processor information