Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\WinRing0_1_2_0] 'ImagePath' = 'C:\Info\ohm\OpenHardwareMonitorLib.sys'
Вредоносные функции:
Создает и запускает на исполнение:
- '' (загружен из сети Интернет)
Изменения в файловой системе:
Создает следующие файлы:
- C:\Info\ohm\OxyPlot.WindowsForms.dll
- C:\Info\ohm\OxyPlot.dll
- <SYSTEM32>\wbem\Framework\root\OpenHardwareMonitor\OpenHardwareMonitor_SN__Version_0.8.0.0.cs
- C:\Info\ohm\OpenHardwareMonitorLib.sys
- C:\Info\ohm\OpenHardwareMonitorLib.dll
- C:\Info\ohm\OpenHardwareMonitor.config
- C:\Info\ohm\License.html
- C:\Info\ohm\OpenHardwareMonitor.exe.config
- C:\Info\ohm\OpenHardwareMonitor.exe
- <SYSTEM32>\wbem\Framework\root\OpenHardwareMonitor\OpenHardwareMonitor_SN__Version_0.8.0.0.mof
- %TEMP%\CSC2.tmp
- %TEMP%\rkwkwm54.out
- %TEMP%\rkwkwm54.dll
- %TEMP%\RES3.tmp
- %TEMP%\rkwkwm54.cmdline
- <SYSTEM32>\wbem\AutoRecover\C2F84F42B1528771F9CC8ED2EF22900B.mof
- %TEMP%\tmp1.tmp
- %TEMP%\rkwkwm54.0.cs
- C:\Info\new_update.exe
- C:\Info\ohm\Aga.Controls.dll
- C:\Info\INIFileParser.dll
- C:\Info\InformME_slim.ini
- C:\Info\updater.exe
- C:\Info\INIFileParser.xml
- C:\Info\InformME_RUS.ini
- C:\Info\first_run.cmd
- C:\Info\collector.exe
- C:\Info\InformME.ini
- C:\Info\InformME.exe
- C:\Info\mod\INIFileParser.dll
- C:\Info\mod\mod_ohm.exe
- C:\Info\mod\mod_nicehash.exe
- C:\Info\mod\mod_rig.exe
- C:\Info\mod\mod_ohm.ini
- C:\Info\mod\mod_ewbf.ini
- C:\Info\mod\mod_claymore.exe
- C:\Info\mod\INIFileParser.xml
- C:\Info\mod\mod_ewbf.exe
- C:\Info\mod\mod_claymore.ini
Удаляет следующие файлы:
- %TEMP%\CSC2.tmp
- C:\Info\new_update.exe
- %TEMP%\RES3.tmp
- C:\Info\ohm\OpenHardwareMonitorLib.sys
- %TEMP%\tmp1.tmp
Сетевая активность:
Подключается к:
- 'ap#.##legram.org':443
- 'in####me.krasnix.ru':80
- 'wp#d':80
TCP:
Запросы HTTP GET:
- http://in####me.krasnix.ru/app/update
- http://in####me.krasnix.ru/app/version
- http://11#.#11.111.1/wpad.dat via wp#d
UDP:
- DNS ASK ap#.##legram.org
- DNS ASK in####me.krasnix.ru
- DNS ASK wp#d
Другое:
Ищет следующие окна:
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение:
- 'C:\Info\updater.exe'
- 'C:\Info\new_update.exe'
- 'C:\Info\ohm\OpenHardwareMonitor.exe'
- 'C:\Info\InformME.exe'
Запускает на исполнение:
- '%WINDIR%\Microsoft.NET\Framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\rkwkwm54.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES3.tmp" "%TEMP%\CSC2.tmp"
- '<SYSTEM32>\cmd.exe' /c ""C:\Info\first_run.cmd" "
- '<SYSTEM32>\wbem\mofcomp.exe' <SYSTEM32>\WBEM\Framework\root\OpenHardwareMonitor\OpenHardwareMonitor_SN__Version_0.8.0.0.mof
