Техническая информация
Для обеспечения автозапуска и распространения:
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\№Я±ЮЅГАЫ.lnk
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] 'C:\irais\kiosk_bin\UpdateClient.exe' = 'C:\irais\kiosk_bin\UpdateClien...
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] 'C:\irais\UpdateClient.exe' = 'C:\irais\UpdateClient.exe:*:Enabled:IRAI...
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] 'C:\irais\kiosk_bin\CAFTest.exe' = 'C:\irais\kiosk_bin\CAFTest.exe:*:En...
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] 'C:\irais\kiosk_bin\TPAgent.exe' = 'C:\irais\kiosk_bin\TPAgent.exe:*:En...
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] 'C:\irais\ScreenHide.exe' = 'C:\irais\ScreenHide.exe:*:Enabled:IRAIS Sc...
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] 'C:\irais\kiosk_bin\CAFIRAIS.exe' = 'C:\irais\kiosk_bin\CAFIRAIS.exe:*:...
Для затруднения выявления своего присутствия в системе
блокирует:
- Центр обеспечения безопасности (Security Center)
Запускает на исполнение:
- '<SYSTEM32>\net.exe' stop uvnc_service
- '<SYSTEM32>\net.exe' stop winvnc
Изменяет следующие настройки браузера Windows Internet Explorer:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1400' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1001' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] 'CurrentLevel' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '2102' = '00000003'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1809' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1601' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '2102' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1001' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] 'Flags' = '00000043'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] 'CurrentLevel' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1809' = '00000003'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1601' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1400' = '00000000'
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Desktop\°ьё®_PG.lnk
- C:\SetRTapi.reg
- C:\WinSecuCenter.reg
- %HOMEPATH%\Desktop\№Я±ЮЅГАЫ.lnk
- C:\IRAIS\Kiosk_Bin\CertMgr.exe
- C:\IRAIS\Kiosk_Bin\tapi.cer
- C:\IRAIS\log\TPEnvAT\201802\20180212.log
Удаляет следующие файлы:
- C:\WinSecuCenter.reg
- C:\SetRTapi.reg
- <SYSTEM32>\osk.exe
- C:\IRAIS\Kiosk_Bin\tapi.cer
- <SYSTEM32>\dllcache\osk.exe
Другое:
Ищет следующие окна:
- ClassName: 'MS_WINHELP' WindowName: ''
- ClassName: 'RegEdit_RegEdit' WindowName: ''
Создает и запускает на исполнение:
- 'C:\IRAIS\Kiosk_Bin\CertMgr.exe' -add C:\IRAIS\Kiosk_Bin\tapi.cer -s -r localMachine root
Запускает на исполнение:
- '<SYSTEM32>\net.exe' delete uvnc_service
- '<SYSTEM32>\net1.exe' stop uvnc_service
- '<SYSTEM32>\sc.exe' delete uvnc_service
- '%WINDIR%\regedit.exe' /S C:\WinSecuCenter.reg
- '%WINDIR%\regedit.exe' /S C:\SetRTapi.reg
- '<SYSTEM32>\net1.exe' delete uvnc_service
- '<SYSTEM32>\net1.exe' stop winvnc
- '<SYSTEM32>\sc.exe' delete winvnc
- '<SYSTEM32>\sc.exe' stop winvnc
- '<SYSTEM32>\sc.exe' stop uvnc_service
- '<SYSTEM32>\net1.exe' delete winvnc
- '<SYSTEM32>\net.exe' delete winvnc
