Trojan.Inject1.51206

Техническая информация

Для обеспечения автозапуска и распространения:

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\raddrvv3] 'Start' = '00000001'
[<HKLM>\SYSTEM\ControlSet001\Services\mirrorv3] 'Start' = '00000001'
[<HKLM>\SYSTEM\ControlSet001\Services\RServer3] 'Start' = '00000002'

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<SYSTEM32>\rserver30\rserver3.exe' = '<SYSTEM32>\rserver30\rserver3.exe:*:Enabled:Radmin Server 3'

Создает и запускает на исполнение:

'<SYSTEM32>\rserver30\rsetup.exe' /start
'<SYSTEM32>\rserver30\rserver3.exe' /service
'<SYSTEM32>\rserver30\FamItrfc.Exe'
'%WINDIR%\Temp\inst.exe'
'%TEMP%\{3A8C4C87-D460-488A-A0AA-8993F6D355B1}\rsetup.exe' /stop
'<SYSTEM32>\rserver30\rsetup.exe' /intsetup

Запускает на исполнение:

'<SYSTEM32>\runonce.exe' -r
'<SYSTEM32>\rundll32.exe' <SYSTEM32>\rserver30\wsock32.dll,ntskd noreboot
'<SYSTEM32>\ping.exe' -n 10 127.0.0.1
'<SYSTEM32>\msiexec.exe' -Embedding C11CBBDDE98E710E33170596F4D7FC5F
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\1.tmp\inst.cmd" "
'<SYSTEM32>\msiexec.exe' /i "%WINDIR%\Temp\msupdate.msi" /qn /norestart
'<SYSTEM32>\msiexec.exe' /V

Изменения в файловой системе:

Создает следующие файлы:

<SYSTEM32>\rserver30\Radmin30ru.chm
<SYSTEM32>\rserver30\Radmin30.chm
<SYSTEM32>\rserver30\eula.txt
<SYSTEM32>\rserver30\1049.lng_rad
%WINDIR%\Installer\MSIB.tmp
%WINDIR%\Installer\MSIA.tmp
<SYSTEM32>\rserver30\wsock32.dll
<SYSTEM32>\rserver30\raddrvv3.sys
<SYSTEM32>\rserver30\rsetup.exe
<SYSTEM32>\rserver30\vcintsx.dll
<SYSTEM32>\rserver30\vcintcx.dll
<SYSTEM32>\rserver30\rminiv3.sys
<SYSTEM32>\rserver30\mirrorv3.cat
<SYSTEM32>\rserver30\mirrorv3.inf
<SYSTEM32>\rserver30\mirrorv3.dll
<SYSTEM32>\CatRoot\{F750E6C3-38EE-11D1-85E5-00C04FC295EE}\oem3.CAT
%APPDATA%\Microsoft\Installer\{3A8C4C87-D460-488A-A0AA-8993F6D355B1}\NewShortcut3_6BF1780B36EA432B9451DD84FF5C9D52.exe
%APPDATA%\Microsoft\Installer\{3A8C4C87-D460-488A-A0AA-8993F6D355B1}\NewShortcut4_6BF1780B36EA432B9451DD84FF5C9D52.exe
%APPDATA%\Microsoft\Installer\{3A8C4C87-D460-488A-A0AA-8993F6D355B1}\Z_MENU_SRVCFG_6BF1780B36EA432B9451DD84FF5C9D52.exe
%WINDIR%\Installer\MSI13.tmp
<SYSTEM32>\rserver30\Radm_log.htm
%WINDIR%\Installer\MSI16.tmp
%WINDIR%\Installer\MSI15.tmp
%APPDATA%\Microsoft\Installer\{3A8C4C87-D460-488A-A0AA-8993F6D355B1}\ARPPRODUCTICON.exe
<DRIVERS>\SETE.tmp
%WINDIR%\inf\oem3.PNF
%WINDIR%\inf\oem3.inf
<SYSTEM32>\SETF.tmp
%WINDIR%\Installer\MSI12.tmp
%WINDIR%\Installer\MSI11.tmp
%WINDIR%\Installer\MSI10.tmp
<SYSTEM32>\rserver30\rsaudiox.dll
%WINDIR%\Installer\MSI4.tmp
%WINDIR%\Installer\MSI3.tmp
%WINDIR%\Installer\MSI5.tmp
%WINDIR%\Installer\MSI8.tmp
C:\Config.Msi\225d1.rbs
%WINDIR%\Installer\MSI6.tmp
%TEMP%\{3A8C4C87-D460-488A-A0AA-8993F6D355B1}\FirewallInstallHelper.dll
%TEMP%\1.tmp\inst.cmd
%WINDIR%\Temp\msupdate.msi
%WINDIR%\Temp\inst.exe
%WINDIR%\Installer\225ce.msi
%TEMP%\{3A8C4C87-D460-488A-A0AA-8993F6D355B1}\rsetup64.exe
%TEMP%\{3A8C4C87-D460-488A-A0AA-8993F6D355B1}\rsetup.exe
%WINDIR%\Installer\MSI2.tmp
%WINDIR%\Installer\MSI9.tmp
<SYSTEM32>\rserver30\CHATLOGS\info.txt
<SYSTEM32>\rserver30\rchatx.dll
<SYSTEM32>\rserver30\rsl.exe
<SYSTEM32>\rserver30\rschatx.dll
<SYSTEM32>\rserver30\voicex.dll
<SYSTEM32>\rserver30\raudiox.dll
<SYSTEM32>\rserver30\ChatLPCx.dll
<SYSTEM32>\rserver30\RCursor.dll
<SYSTEM32>\rserver30\FamItrfc.Exe
<SYSTEM32>\rserver30\WinLpcDl2.dll
<SYSTEM32>\rserver30\WinLpcDl.dll
<SYSTEM32>\rserver30\FamItrf2.Exe
<SYSTEM32>\rserver30\R_sui.dll
<SYSTEM32>\rserver30\rserver3.exe
<SYSTEM32>\rserver30\FirewallInstallHelper.dll