Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Classes\RNRFile\shell\open\command] '' = '"%ProgramFiles%\UnHackMe\Reanimator.exe" /help "%1"'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'UnHackMe Monitor' = '%ProgramFiles%\UnHackMe\hackmon.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\UnHackMeDrv] 'ImagePath' = 'System32\DRIVERS\UnHackMeDrv.sys'
- [<HKLM>\SYSTEM\ControlSet001\Services\Partizan] 'ImagePath' = 'system32\drivers\Partizan.sys'
- [<HKLM>\SYSTEM\ControlSet001\Services\Partizan] 'Start' = '00000000'
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Desktop\UnHackMe.lnk
- %ALLUSERSPROFILE%\Start Menu\Programs\UnHackMe\Read me.lnk
- %ALLUSERSPROFILE%\Start Menu\Programs\UnHackMe\UnHackMe Monitor.lnk
- %ALLUSERSPROFILE%\Start Menu\Programs\UnHackMe\Reanimator.lnk
- %ALLUSERSPROFILE%\Start Menu\Programs\UnHackMe\Check for UnHackMe updates.lnk
- %ProgramFiles%\UnHackMe\unins000.dat
- %ALLUSERSPROFILE%\Start Menu\Programs\UnHackMe\How to register.lnk
- %ALLUSERSPROFILE%\Start Menu\Programs\UnHackMe\Uninstall UnHackMe.lnk
- <DRIVERS>\is-D77A5.tmp
- %ALLUSERSPROFILE%\Documents\regruninfo\is-OMTJE.tmp
- %ProgramFiles%\UnHackMe\is-6B73E.tmp
- %ProgramFiles%\UnHackMe\is-5TE2B.tmp
- %ProgramFiles%\UnHackMe\is-G4QQ1.tmp
- %ALLUSERSPROFILE%\Start Menu\Programs\UnHackMe\Start UnHackMe.lnk
- <SYSTEM32>\is-J9DD3.tmp
- %ProgramFiles%\UnHackMe\is-TD65N.tmp
- %TEMP%\8B57FEA3A174D628D7F49EA8FD939D31
- %TEMP%\904D57F61A9D7FE5185C01B47D54C2FB
- %ProgramFiles%\UnHackMe\unhackme.log
- <DRIVERS>\Partizan.sys
- %ALLUSERSPROFILE%\Documents\regruninfo\userinfo.db-journal
- %ALLUSERSPROFILE%\Documents\regruninfo\userinfo.db
- %TEMP%\~DF6F7E.tmp
- %HOMEPATH%\My Documents\RegRun2\rr2log.txt
- %ProgramFiles%\UnHackMe\database.rdb
- %ProgramFiles%\UnHackMe\regrunex
- %TEMP%\GreatisTmp\regruninfo.log
- %HOMEPATH%\My Documents\RegRun2\Regrun2.rr2
- %TEMP%\~DFAD4C.tmp
- %TEMP%\~DFB5B1.tmp
- %HOMEPATH%\My Documents\RegRun2\mydatabase.rdb
- %HOMEPATH%\My Documents\RegRun2\tempdatabase.rdb
- %ProgramFiles%\UnHackMe\is-SECM3.tmp
- %ProgramFiles%\UnHackMe\is-8AE5A.tmp
- %ProgramFiles%\UnHackMe\is-3KSEU.tmp
- %ProgramFiles%\UnHackMe\is-GUPDD.tmp
- %ProgramFiles%\UnHackMe\is-U1MU1.tmp
- %ProgramFiles%\UnHackMe\is-E37N3.tmp
- %ProgramFiles%\UnHackMe\is-4B46R.tmp
- %ProgramFiles%\UnHackMe\is-7GEPD.tmp
- %ProgramFiles%\UnHackMe\is-C18GV.tmp
- %TEMP%\is-4TCAF.tmp\~thuxxmq.tmp
- %TEMP%\is-8ILJG.tmp\_isetup\_shfoldr.dll
- %TEMP%\aut1.tmp
- %TEMP%\~thuxxmq.tmp
- %ProgramFiles%\UnHackMe\is-L14EL.tmp
- %ProgramFiles%\UnHackMe\is-SJOEO.tmp
- %ProgramFiles%\UnHackMe\is-EOOA6.tmp
- %ProgramFiles%\UnHackMe\is-V5J6T.tmp
- %ProgramFiles%\UnHackMe\is-FQ5GP.tmp
- %ProgramFiles%\UnHackMe\is-JBS49.tmp
- %ProgramFiles%\UnHackMe\is-7CSFF.tmp
- %ProgramFiles%\UnHackMe\is-4A44A.tmp
- %ProgramFiles%\UnHackMe\is-9SC4J.tmp
- %ProgramFiles%\UnHackMe\is-9L76F.tmp
- %ProgramFiles%\UnHackMe\is-G93G1.tmp
- %ProgramFiles%\UnHackMe\is-T4VU3.tmp
- %ProgramFiles%\UnHackMe\is-ISSBO.tmp
- %ProgramFiles%\UnHackMe\is-CCVT6.tmp
- %ProgramFiles%\UnHackMe\is-L1TBT.tmp
- %ProgramFiles%\UnHackMe\is-KUOKG.tmp
- %ProgramFiles%\UnHackMe\is-DMUF2.tmp
- %ProgramFiles%\UnHackMe\is-8S3CO.tmp
- %ProgramFiles%\UnHackMe\is-12E6M.tmp
- %ProgramFiles%\UnHackMe\is-50CHC.tmp
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\~thuxxmq.tmp
Удаляет следующие файлы:
- %ProgramFiles%\UnHackMe\greatis.rdb
- %TEMP%\is-4TCAF.tmp\~thuxxmq.tmp
- %TEMP%\~DFB5B1.tmp
- %ALLUSERSPROFILE%\Documents\regruninfo\userinfo.db-journal
- %HOMEPATH%\My Documents\RegRun2\mydatabase.rdb
- %ProgramFiles%\UnHackMe\Unhackme.exe
- %TEMP%\aut1.tmp
- %ProgramFiles%\UnHackMe\regrunex
- %TEMP%\is-8ILJG.tmp\_isetup\_shfoldr.dll
Перемещает следующие файлы:
- %ProgramFiles%\UnHackMe\is-JBS49.tmp в %ProgramFiles%\UnHackMe\UnHackMe.chm
- %ProgramFiles%\UnHackMe\is-FQ5GP.tmp в %ProgramFiles%\UnHackMe\RegRunInfo.exe
- %ProgramFiles%\UnHackMe\is-9SC4J.tmp в %ProgramFiles%\UnHackMe\UnHackMe.hlp
- %ProgramFiles%\UnHackMe\is-G93G1.tmp в %ProgramFiles%\UnHackMe\UnHackMe.cnt
- %ProgramFiles%\UnHackMe\is-8S3CO.tmp в %ProgramFiles%\UnHackMe\regrun2.hlp
- %ProgramFiles%\UnHackMe\is-DMUF2.tmp в %ProgramFiles%\UnHackMe\regrun2.cnt
- %ProgramFiles%\UnHackMe\is-4A44A.tmp в %ProgramFiles%\UnHackMe\regruninfo.db
- %ProgramFiles%\UnHackMe\is-7CSFF.tmp в %ProgramFiles%\UnHackMe\regrunck.exe
- %ProgramFiles%\UnHackMe\is-9L76F.tmp в %ProgramFiles%\UnHackMe\unhackme.log
- <SYSTEM32>\is-J9DD3.tmp в <SYSTEM32>\partizan.exe
- %ALLUSERSPROFILE%\Documents\regruninfo\is-OMTJE.tmp в %ALLUSERSPROFILE%\Documents\regruninfo\userinfo.db
- %ProgramFiles%\UnHackMe\is-G4QQ1.tmp в %ProgramFiles%\UnHackMe\rune.exe
- %ProgramFiles%\UnHackMe\is-TD65N.tmp в %ProgramFiles%\UnHackMe\ShowTrayIcon.exe
- %ProgramFiles%\UnHackMe\is-6B73E.tmp в %ProgramFiles%\UnHackMe\UnHackMeDrv.sys
- %ProgramFiles%\UnHackMe\is-SECM3.tmp в %ProgramFiles%\UnHackMe\unhackmedb.unh
- <DRIVERS>\is-D77A5.tmp в <DRIVERS>\UnHackMeDrv.sys
- %ProgramFiles%\UnHackMe\is-5TE2B.tmp в %ProgramFiles%\UnHackMe\unhackmeschedule.exe
- %ProgramFiles%\UnHackMe\is-50CHC.tmp в %ProgramFiles%\UnHackMe\regrun2.chm
- %ProgramFiles%\UnHackMe\is-U1MU1.tmp в %ProgramFiles%\UnHackMe\greatis.rdb
- %ProgramFiles%\UnHackMe\is-GUPDD.tmp в %ProgramFiles%\UnHackMe\dbswww.ini
- %ProgramFiles%\UnHackMe\is-3KSEU.tmp в %ProgramFiles%\UnHackMe\hackmon.exe
- %ProgramFiles%\UnHackMe\is-8AE5A.tmp в %ProgramFiles%\UnHackMe\GWebUpdate.exe
- %ProgramFiles%\UnHackMe\is-V5J6T.tmp в %ProgramFiles%\UnHackMe\Unhackme.exe
- %ProgramFiles%\UnHackMe\is-EOOA6.tmp в %ProgramFiles%\UnHackMe\unins000.exe
- %ProgramFiles%\UnHackMe\is-SJOEO.tmp в %ProgramFiles%\UnHackMe\dbs.db
- %ProgramFiles%\UnHackMe\is-L14EL.tmp в %ProgramFiles%\UnHackMe\7za.exe
- %ProgramFiles%\UnHackMe\is-7GEPD.tmp в %ProgramFiles%\UnHackMe\jsonfast.dll
- %ProgramFiles%\UnHackMe\is-ISSBO.tmp в %ProgramFiles%\UnHackMe\partizan.exe
- %ProgramFiles%\UnHackMe\is-KUOKG.tmp в %ProgramFiles%\UnHackMe\parser.dll
- %ProgramFiles%\UnHackMe\is-12E6M.tmp в %ProgramFiles%\UnHackMe\reanimator.exe
- %ProgramFiles%\UnHackMe\is-CCVT6.tmp в %ProgramFiles%\UnHackMe\readme.txt
- %ProgramFiles%\UnHackMe\is-E37N3.tmp в %ProgramFiles%\UnHackMe\logo.bmp
- %ProgramFiles%\UnHackMe\is-C18GV.tmp в %ProgramFiles%\UnHackMe\license.txt
- %ProgramFiles%\UnHackMe\is-L1TBT.tmp в %ProgramFiles%\UnHackMe\order.txt
- %ProgramFiles%\UnHackMe\is-4B46R.tmp в %ProgramFiles%\UnHackMe\mozlz4d.exe
Подменяет следующие файлы:
- %ALLUSERSPROFILE%\Documents\regruninfo\userinfo.db-journal
- %HOMEPATH%\My Documents\RegRun2\mydatabase.rdb
- %ProgramFiles%\UnHackMe\Unhackme.exe
Сетевая активность:
Подключается к:
- '20#.#6.232.182':80
- 'ap#.#arse.com':443
TCP:
Запросы HTTP GET:
- http://crl.microsoft.com/pki/crl/products/WindowsPCA.crl via 20#.#6.232.182
UDP:
- DNS ASK crl.microsoft.com
- DNS ASK ap#.#arse.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_WINHELP' WindowName: ''
- ClassName: 'TfrmMon' WindowName: ''
- ClassName: 'TApplication' WindowName: 'UnhackMe'
- ClassName: 'TfrmMain' WindowName: 'UnHackMe'
Создает и запускает на исполнение:
- '%ProgramFiles%\UnHackMe\reanimator.exe' /wiz /full /malw
- '%ProgramFiles%\UnHackMe\hackmon.exe'
- '%ProgramFiles%\UnHackMe\ShowTrayIcon.exe'
- '%ProgramFiles%\UnHackMe\reanimator.exe' /wiz /full /hid
- '%ProgramFiles%\UnHackMe\Unhackme.exe' /a
- '%ProgramFiles%\UnHackMe\Unhackme.exe'
- '%TEMP%\is-4TCAF.tmp\~thuxxmq.tmp' /SL5="$100E2,18218139,56832,%TEMP%\~thuxxmq.tmp" /VERYSILENT /SUPPRESSMSGBOXES /NORESTART /SP-
- '%TEMP%\~thuxxmq.tmp' /VERYSILENT /SUPPRESSMSGBOXES /NORESTART /SP-
- '%ProgramFiles%\UnHackMe\unhackmeschedule.exe'
- '%ProgramFiles%\UnHackMe\RegRunInfo.exe' /postins
- '%ProgramFiles%\UnHackMe\reanimator.exe' /c
Запускает на исполнение:
- '<SYSTEM32>\netsh.exe' Add to Exclusion "%ProgramFiles%\UnHackMe\gwebupdate.exe" UnHackMe
