Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'VistaSlave' = '"%ProgramFiles%\NetToolEnergyClient\vistaslave.exe"'
Создает или изменяет следующие файлы
- %HOMEPATH%\start menu\programs\startup\st6unst uninstaller.lnk
Создает следующие сервисы
- [<HKLM>\System\CurrentControlSet\Services\EnergyClient] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\EnergyClient] 'ImagePath' = '%ProgramFiles%\NetToolEnergyClient\nettoolenergyclient.exe'
Вредоносные функции
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра
- [<HKLM>\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%ProgramFiles%\NetToolEnergyClient\NetToolEnergyClient.exe' = '%Pr...
- [<HKLM>\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%ProgramFiles%\NetToolEnergyClient\VistaSlave.exe' = '%ProgramFile...
Запускает на исполнение
- '<SYSTEM32>\netsh.exe' firewall add allowedprogram "%ProgramFiles%\NetToolEnergyClient\nettoolenergyclient.exe" "Nettool Energyx Client" enable
- '<SYSTEM32>\netsh.exe' firewall add allowedprogram "%ProgramFiles%\NetToolEnergyClient\vistaslave.exe" "Nettool Energyx VistaSlave" enable
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\rarsfx0\support\advpack.dll
- %TEMP%\rarsfx0\setup.lst
- %TEMP%\rarsfx0\energy.log.txt
- %WINDIR%\st6unst.000
- %WINDIR%\setup.lst
- %WINDIR%\nettoolenergyclient.cab
- %TEMP%\msftqws.pdw\st6unst.exe
- %WINDIR%\temp.000
- %TEMP%\msftqws.pdw\vb6stkit.dll
- %TEMP%\msftqws.pdw\vb6de.dll
- <SYSTEM32>\temp.000
- %WINDIR%\setup1.exe
- %ProgramFiles%\nettoolenergyclient\temp.000
- %ProgramFiles%\nettoolenergyclient\st6unst.log
- %TEMP%\msftqws.pdw\startservice.exe
- %TEMP%\msftqws.pdw\ntsvcx.ocx
- %TEMP%\msftqws.pdw\winskde.dll
- %TEMP%\msftqws.pdw\mswinsck.ocx
- %TEMP%\msftqws.pdw\getcoretempinfo.dll
- %TEMP%\msftqws.pdw\powrprof.dll
- %TEMP%\msftqws.pdw\wlanapi.dll
- %TEMP%\msftqws.pdw\iphlpapi.dll
- %TEMP%\msftqws.pdw\advpack.dll
- %TEMP%\msftqws.pdw\nettoolenergyclient.exe
- %HOMEPATH%\start menu\programs\nettool\nettool energy-x client.lnk
- %TEMP%\rarsfx0\setup.exu
- %TEMP%\msftqws.pdw\vistaslave.exe
- %TEMP%\rarsfx0\nettoolenergyclient.cab
- %TEMP%\rarsfx0\support\oleaut32.dll
- %TEMP%\rarsfx0\support\asycfilt.dll
- %TEMP%\rarsfx0\support\comcat.dll
- %TEMP%\rarsfx0\support\getcoretempinfo.dll
- %TEMP%\rarsfx0\support\iphlpapi.dll
- %TEMP%\rarsfx0\support\msvbvm60.dll
- %TEMP%\rarsfx0\support\mswinsck.ocx
- %TEMP%\rarsfx0\support\nettoolenergyclient.bat
- %TEMP%\rarsfx0\support\nettoolenergyclient.ddf
- %TEMP%\rarsfx0\support\nettoolenergyclient.exe
- %TEMP%\rarsfx0\support\ntsvc.ocx
- %TEMP%\rarsfx0\support\ntsvcx.ocx
- %TEMP%\rarsfx0\support\olepro32.dll
- %TEMP%\rarsfx0\support\wlanapi.dll
- %TEMP%\rarsfx0\support\powrprof.dll
- %TEMP%\rarsfx0\support\setup.exe
- %TEMP%\rarsfx0\support\setup.lst
- %TEMP%\rarsfx0\support\setup1.exe
- %TEMP%\rarsfx0\support\st6unst.exe
- %TEMP%\rarsfx0\support\startservice.exe
- %TEMP%\rarsfx0\support\stdole2.tlb
- %TEMP%\rarsfx0\support\vb6de.dll
- %TEMP%\rarsfx0\support\vb6stkit.dll
- %TEMP%\rarsfx0\support\vistaslave.exe
- %TEMP%\rarsfx0\support\winskde.dll
- %TEMP%\rarsfx0\install.exe
- %WINDIR%\temp\~dfd35e.tmp
Удаляет следующие файлы
- %TEMP%\msftqws.pdw\vb6stkit.dll
- %TEMP%\rarsfx0\support\getcoretempinfo.dll
- %TEMP%\rarsfx0\support\iphlpapi.dll
- %TEMP%\rarsfx0\support\msvbvm60.dll
- %TEMP%\rarsfx0\support\mswinsck.ocx
- %TEMP%\rarsfx0\support\nettoolenergyclient.bat
- %TEMP%\rarsfx0\support\nettoolenergyclient.ddf
- %TEMP%\rarsfx0\support\nettoolenergyclient.exe
- %TEMP%\rarsfx0\support\ntsvc.ocx
- %TEMP%\rarsfx0\support\ntsvcx.ocx
- %TEMP%\rarsfx0\support\oleaut32.dll
- %TEMP%\rarsfx0\support\olepro32.dll
- %TEMP%\rarsfx0\support\powrprof.dll
- %TEMP%\rarsfx0\support\setup.exe
- %TEMP%\rarsfx0\support\setup.lst
- %TEMP%\rarsfx0\support\setup1.exe
- %TEMP%\rarsfx0\support\st6unst.exe
- %TEMP%\rarsfx0\support\startservice.exe
- %TEMP%\rarsfx0\support\stdole2.tlb
- %TEMP%\rarsfx0\support\vb6de.dll
- %TEMP%\rarsfx0\support\vb6stkit.dll
- %TEMP%\rarsfx0\support\vistaslave.exe
- %TEMP%\rarsfx0\support\comcat.dll
- %TEMP%\rarsfx0\support\winskde.dll
- %TEMP%\rarsfx0\support\asycfilt.dll
- %TEMP%\rarsfx0\setup.lst
- %TEMP%\msftqws.pdw\vb6de.dll
- %HOMEPATH%\start menu\programs\startup\st6unst uninstaller.lnk
- %TEMP%\msftqws.pdw\vistaslave.exe
- %TEMP%\msftqws.pdw\startservice.exe
- %TEMP%\msftqws.pdw\ntsvcx.ocx
- %TEMP%\msftqws.pdw\winskde.dll
- %TEMP%\msftqws.pdw\mswinsck.ocx
- %TEMP%\msftqws.pdw\getcoretempinfo.dll
- %TEMP%\msftqws.pdw\powrprof.dll
- %TEMP%\msftqws.pdw\wlanapi.dll
- %TEMP%\msftqws.pdw\iphlpapi.dll
- %TEMP%\msftqws.pdw\advpack.dll
- %TEMP%\msftqws.pdw\nettoolenergyclient.exe
- %WINDIR%\nettoolenergyclient.cab
- %TEMP%\msftqws.pdw\st6unst.exe
- %WINDIR%\st6unst.000
- %WINDIR%\setup.lst
- %TEMP%\rarsfx0\energy.log.txt
- %TEMP%\rarsfx0\install.exe
- %TEMP%\rarsfx0\nettoolenergyclient.cab
- %TEMP%\rarsfx0\setup.exu
- %TEMP%\rarsfx0\support\advpack.dll
- %TEMP%\rarsfx0\support\wlanapi.dll
Перемещает следующие файлы
- %WINDIR%\temp.000 в %WINDIR%\st6unst.exe
- <SYSTEM32>\temp.000 в <SYSTEM32>\vb6stkit.dll
- <SYSTEM32>\temp.000 в <SYSTEM32>\vb6de.dll
- %ProgramFiles%\nettoolenergyclient\temp.000 в %ProgramFiles%\nettoolenergyclient\vistaslave.exe
- %ProgramFiles%\nettoolenergyclient\vistaslave.exe в %ProgramFiles%\nettoolenergyclient\vistaslave.exe
- %ProgramFiles%\nettoolenergyclient\temp.000 в %ProgramFiles%\nettoolenergyclient\startservice.exe
- <SYSTEM32>\temp.000 в <SYSTEM32>\ntsvcx.ocx
- <SYSTEM32>\temp.000 в <SYSTEM32>\winskde.dll
- <SYSTEM32>\temp.000 в <SYSTEM32>\getcoretempinfo.dll
- %ProgramFiles%\nettoolenergyclient\temp.000 в %ProgramFiles%\nettoolenergyclient\nettoolenergyclient.exe
Подменяет следующие файлы
- <SYSTEM32>\temp.000
- %ProgramFiles%\nettoolenergyclient\temp.000
- %ProgramFiles%\nettoolenergyclient\startservice.exe
- <SYSTEM32>\ntsvcx.ocx
- <SYSTEM32>\winskde.dll
- <SYSTEM32>\getcoretempinfo.dll
- %ProgramFiles%\nettoolenergyclient\nettoolenergyclient.exe
Сетевая активность
UDP
- '<LOCALNET>.62.15':9577
- '255.255.255.255':9580
- '<LOCALNET>.62.15':9578
- '<LOCALNET>.62.1':9577
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
- ClassName: 'GVBSetupInit' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\rarsfx0\install.exe'
- '%TEMP%\rarsfx0\setup.exu' /s %TEMP%\RarSFX0\energy.log.txt
- '%WINDIR%\setup1.exe' /s "%TEMP%\RarSFX0\energy.log.txt" "%TEMP%\RarSFX0\" "%WINDIR%\ST6UNST.000" "%WINDIR%\st6unst.exe"
- '%ProgramFiles%\nettoolenergyclient\vistaslave.exe'
- '<SYSTEM32>\netsh.exe' firewall add allowedprogram "%ProgramFiles%\NetToolEnergyClient\nettoolenergyclient.exe" "Nettool Energyx Client" enable' (со скрытым окном)
- '<SYSTEM32>\netsh.exe' firewall add allowedprogram "%ProgramFiles%\NetToolEnergyClient\vistaslave.exe" "Nettool Energyx VistaSlave" enable' (со скрытым окном)
