Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\SYSTEM\CurrentControlSet\Control\Session Manager] 'BootExecute' = ''
Создает следующие сервисы
- [<HKLM>\System\CurrentControlSet\Services\ampa] 'ImagePath' = '<SYSTEM32>\ampa.sys'
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\rarsfx0\pax86\lang\ru.txt
- %TEMP%\rarsfx0\pax86\mfc80u.dll
- %TEMP%\rarsfx0\pax86\mfcm80.dll
- %TEMP%\rarsfx0\pax86\mfcm80u.dll
- %TEMP%\rarsfx0\pax86\msvcm80.dll
- %TEMP%\rarsfx0\pax86\msvcp80.dll
- %TEMP%\rarsfx0\pax86\msvcr80.dll
- %TEMP%\rarsfx0\pax86\pe.dll
- %TEMP%\rarsfx0\pax86\pthreadgc2.dll
- %TEMP%\rarsfx0\pax86\scanpartition.dll
- %TEMP%\rarsfx0\pax86\wimgapi.dll
- %TEMP%\rarsfx0\pax86\epw.exe
- %TEMP%\rarsfx0\pax86\native\w2k\x86\fre\ampa.sys
- %TEMP%\rarsfx0\pax86\native\wnet\amd64\fre\ampa.sys
- %TEMP%\rarsfx0\pax86\native\wlh\amd64\fre\ampa.sys
- %TEMP%\rarsfx0\pax86\2gpt_bcd
- %TEMP%\rarsfx0\pax86\2mbr_bcd
- %TEMP%\rarsfx0\pax86\microsoft.vc80.crt.manifest
- %TEMP%\rarsfx0\pax86\microsoft.vc80.mfc.manifest
- %TEMP%\rarsfx0\pax86\log\ampa1.log
- %WINDIR%\ampa.exe
- %WINDIR%\syswow64\ampa.sys
- <SYSTEM32>\ampa.sys
- %TEMP%\rarsfx0\pax86\libxml2-2.dll
- %TEMP%\rarsfx0\pax86\mfc80.dll
- %TEMP%\rarsfx0\pax86\libwim-15.dll
- %TEMP%\rarsfx0\pax86\libgcc_s_sjlj-1.dll
- %TEMP%\rarsfx0\pax86\iconv.dll
- %TEMP%\rarsfx0\pax86\log\esp0.log
- %TEMP%\rarsfx0\pax86\cfg.ini
- %TEMP%\rarsfx0\pax86\info.ini
- %TEMP%\rarsfx0\pax86\install.bat
- %TEMP%\rarsfx0\pax86\7z.exe
- %TEMP%\rarsfx0\pax86\native\w2k\x86\fre\ampa.exe
- %TEMP%\rarsfx0\pax86\native\wnet\amd64\fre\ampa.exe
- %TEMP%\rarsfx0\pax86\native\wlh\amd64\fre\ampa.exe
- %TEMP%\rarsfx0\pax86\native\wlh\x86\fre\ampa.exe
- %TEMP%\rarsfx0\pax86\bcdboot.exe
- %WINDIR%\temp\udd9745.tmp
- %TEMP%\rarsfx0\pax86\native\wlh\x86\fre\ampa.sys
- %TEMP%\rarsfx0\pax86\dyndiskconverter.exe
- %TEMP%\rarsfx0\pax86\loaddrv.exe
- %TEMP%\rarsfx0\pax86\loaddrv_win32.exe
- %TEMP%\rarsfx0\pax86\loaddrv_x64.exe
- %TEMP%\rarsfx0\pax86\ntfs2fat32.exe
- %TEMP%\rarsfx0\pax86\partassist.exe
- %TEMP%\rarsfx0\pax86\setupgreen32.exe
- %TEMP%\rarsfx0\pax86\setupgreen64.exe
- %TEMP%\rarsfx0\pax86\wimlib-imagex.exe
- %TEMP%\rarsfx0\pax86\winchk.exe
- %TEMP%\rarsfx0\pax86\7z.dll
- %TEMP%\rarsfx0\pax86\log\ampa0.log
- %TEMP%\rarsfx0\pax86\info.exe
- C:\amtag.bin
Присваивает атрибут 'скрытый' для следующих файлов
- C:\amtag.bin
Удаляет следующие файлы
- %WINDIR%\ampa.exe
- %WINDIR%\syswow64\ampa.sys
- %WINDIR%\temp\udd9745.tmp
Подменяет следующие файлы
- %WINDIR%\ampa.exe
- %WINDIR%\syswow64\ampa.sys
Сетевая активность
UDP
- DNS ASK di####artition.com
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\rarsfx0\pax86\partassist.exe'
- '%TEMP%\rarsfx0\pax86\setupgreen64.exe' -u
- '%TEMP%\rarsfx0\pax86\loaddrv_x64.exe' -u
- '%TEMP%\rarsfx0\pax86\setupgreen64.exe'
- '%TEMP%\rarsfx0\pax86\loaddrv_x64.exe'
- '%TEMP%\rarsfx0\pax86\setupgreen64.exe' -u' (со скрытым окном)
- '%TEMP%\rarsfx0\pax86\loaddrv_x64.exe' -u' (со скрытым окном)
- '%TEMP%\rarsfx0\pax86\setupgreen64.exe' ' (со скрытым окном)
- '%TEMP%\rarsfx0\pax86\loaddrv_x64.exe' ' (со скрытым окном)
