Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = '<SYSTEM32>\userinit.exe,'
Создает следующие сервисы
- [<HKLM>\System\CurrentControlSet\Services\NetManagerSer] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\NetManagerSer] 'ImagePath' = '<SYSTEM32>\ResMs\PcManager.exe'
- [<HKLM>\System\CurrentControlSet\Services\NetManagerMon] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\NetManagerMon] 'ImagePath' = '<SYSTEM32>\ResMs\SerManager.exe'
Вредоносные функции
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра
- [<HKLM>\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<SYSTEM32>\ResMs\MONMANAGER.EXE' = '<SYSTEM32>\ResMs\MONMANAGER.EX...
- [<HKLM>\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<SYSTEM32>\ResMs\PCMANAGER.EXE' = '<SYSTEM32>\ResMs\PCMANAGER.EXE:...
Запускает на исполнение
- '<SYSTEM32>\netsh.exe' firewall add allowedprogram <SYSTEM32>\ResMs\rsvwin.exe PING ENABLE
- '<SYSTEM32>\netsh.exe' firewall add portopening TCP 5051 TCP2 ENABLE ALL
- '<SYSTEM32>\netsh.exe' firewall add allowedprogram <SYSTEM32>\ResMs\PcManager.exe TCP ENABLE
- '<SYSTEM32>\netsh.exe' firewall add portopening TCP 5050 TCP1 ENABLE ALL
- '<SYSTEM32>\netsh.exe' firewall add portopening UDP 9099 UDP2 ENABLE ALL
- '<SYSTEM32>\netsh.exe' firewall set icmpsetting 8 ENABLE
- '<SYSTEM32>\netsh.exe' firewall add portopening UDP 8099 UDP1 ENABLE ALL
- '<SYSTEM32>\netsh.exe' firewall add portopening TCP 9055 TCP0 ENABLE ALL
- '<SYSTEM32>\netsh.exe' firewall add allowedprogram <SYSTEM32>\ResMs\MonManager.exe UDP ENABLE
- '<SYSTEM32>\netsh.exe' firewall add portopening TCP 8055 TCP3 ENABLE ALL
Изменения в файловой системе
Создает следующие файлы
- <SYSTEM32>\resms\authenmanager.dll
- <SYSTEM32>\resms\winpcap_4_1_2.exe
- <SYSTEM32>\resms\winpcap\wpcap.dll
- <SYSTEM32>\resms\winpcap\wpcap.inf
- <SYSTEM32>\resms\winpcap\inswpcap2.exe
- <SYSTEM32>\resms\winpcap\npf.sys
- <SYSTEM32>\resms\terminalaudit.dll
- <SYSTEM32>\resms\winpcap.exe
- <SYSTEM32>\resms\winpcap\packet.dll
- <SYSTEM32>\packet.dll
- <SYSTEM32>\wpcap.dll
- <SYSTEM32>\wanpacket.dll
- <SYSTEM32>\pthreadvc.dll
- <DRIVERS>\npf.sys
- <SYSTEM32>\resms\winpcap\pthreadvc.dll
- <SYSTEM32>\resms\winpcap\wanpacket.dll
- <SYSTEM32>\resms\smtzmonlog.exe
- <SYSTEM32>\resms\sermanager.exe
- <SYSTEM32>\resms\securitymanager.dll
- <SYSTEM32>\resms\changeservice.exe
- <SYSTEM32>\resms\devicemanager.dll
- <SYSTEM32>\resms\devmonlib.dll
- <SYSTEM32>\resms\mainmanager.dll
- <SYSTEM32>\resms\monhardware.dll
- <SYSTEM32>\resms\monlanhost.dll
- <SYSTEM32>\resms\cabxmldll.dll
- <SYSTEM32>\resms\monmanager.exe
- <SYSTEM32>\resms\myfwdrv.sys
- <SYSTEM32>\resms\myfwforv.dll
- <SYSTEM32>\resms\npptools.dll
- <SYSTEM32>\resms\patchmanager.dll
- <SYSTEM32>\resms\pcmanager.exe
- <SYSTEM32>\resms\qchain.exe
- <SYSTEM32>\resms\monoutercon.dll
- \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Perflib\009
- <SYSTEM32>\resback\smtzbackup.exe
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '<SYSTEM32>\resms\sermanager.exe'
- '<SYSTEM32>\resms\sermanager.exe' -s
- '<SYSTEM32>\resms\sermanager.exe' -i
- '<SYSTEM32>\resms\pcmanager.exe'
- '<SYSTEM32>\resms\pcmanager.exe' -s
- '<SYSTEM32>\resms\pcmanager.exe' -i
- '<SYSTEM32>\resms\winpcap\inswpcap2.exe'
- '<SYSTEM32>\resms\winpcap.exe'
- '<SYSTEM32>\resms\changeservice.exe'
- '<SYSTEM32>\cmd.exe' /c del /q <SYSTEM32>\ResMs\' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c rd /q <SYSTEM32>\ResMs\' (со скрытым окном)
- '<SYSTEM32>\resms\winpcap.exe' ' (со скрытым окном)
- '<SYSTEM32>\resms\winpcap\inswpcap2.exe' ' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c netsh firewall set icmpsetting 8 ENABLE' (со скрытым окном)
- '<SYSTEM32>\resms\pcmanager.exe' -s' (со скрытым окном)
- '<SYSTEM32>\resms\sermanager.exe' -i' (со скрытым окном)
- '<SYSTEM32>\resms\sermanager.exe' -s' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c rd /q <SYSTEM32>\ResBack\' (со скрытым окном)
- '<SYSTEM32>\resms\pcmanager.exe' -i' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c move <SYSTEM32>\ResMs\ <SYSTEM32>\ResBack\' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c netsh firewall add portopening TCP 8055 TCP3 ENABLE ALL' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c netsh firewall add portopening TCP 5050 TCP1 ENABLE ALL' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c netsh firewall add allowedprogram <SYSTEM32>\ResMs\MonManager.exe UDP ENABLE' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c del /q <SYSTEM32>\ResBack\' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c netsh firewall add portopening TCP 5051 TCP2 ENABLE ALL' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c netsh firewall add portopening UDP 8099 UDP1 ENABLE ALL' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c netsh firewall add portopening UDP 9099 UDP2 ENABLE ALL' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c del /q <SYSTEM32>\Update\' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c netsh firewall add allowedprogram <SYSTEM32>\ResMs\PcManager.exe TCP ENABLE' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c netsh firewall add allowedprogram <SYSTEM32>\ResMs\rsvwin.exe PING ENABLE' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c netsh firewall add portopening TCP 9055 TCP0 ENABLE ALL' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c rd /q <SYSTEM32>\Update\' (со скрытым окном)
- '<SYSTEM32>\resms\changeservice.exe' ' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c netsh firewall set icmpsetting 8 ENABLE
- '<SYSTEM32>\cmd.exe' /c del /q <SYSTEM32>\ResMs\
- '<SYSTEM32>\cmd.exe' /c rd /q <SYSTEM32>\ResBack\
- '<SYSTEM32>\cmd.exe' /c del /q <SYSTEM32>\ResBack\
- '<SYSTEM32>\cmd.exe' /c rd /q <SYSTEM32>\Update\
- '<SYSTEM32>\cmd.exe' /c netsh firewall add allowedprogram <SYSTEM32>\ResMs\MonManager.exe UDP ENABLE
- '<SYSTEM32>\cmd.exe' /c netsh firewall add portopening TCP 9055 TCP0 ENABLE ALL
- '<SYSTEM32>\cmd.exe' /c rd /q <SYSTEM32>\ResMs\
- '<SYSTEM32>\cmd.exe' /c netsh firewall add allowedprogram <SYSTEM32>\ResMs\rsvwin.exe PING ENABLE
- '<SYSTEM32>\cmd.exe' /c del /q <SYSTEM32>\Update\
- '<SYSTEM32>\cmd.exe' /c netsh firewall add portopening TCP 5050 TCP1 ENABLE ALL
- '<SYSTEM32>\cmd.exe' /c netsh firewall add portopening UDP 8099 UDP1 ENABLE ALL
- '<SYSTEM32>\cmd.exe' /c netsh firewall add portopening TCP 5051 TCP2 ENABLE ALL
- '<SYSTEM32>\cmd.exe' /c netsh firewall add portopening TCP 8055 TCP3 ENABLE ALL
- '<SYSTEM32>\cmd.exe' /c netsh firewall add portopening UDP 9099 UDP2 ENABLE ALL
- '<SYSTEM32>\cmd.exe' /c netsh firewall add allowedprogram <SYSTEM32>\ResMs\PcManager.exe TCP ENABLE
- '<SYSTEM32>\cmd.exe' /c move <SYSTEM32>\ResMs\ <SYSTEM32>\ResBack\
