Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\SYSTEM\CurrentControlSet\Control\Session Manager] 'BootExecute' = 'autocheck autochk *'
Создает следующие сервисы
- [<HKLM>\System\CurrentControlSet\Services\ampa] 'ImagePath' = '<SYSTEM32>\ampa.sys'
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\rarsfx0\lang\cn.txt
- %TEMP%\rarsfx0\pthreadgc2.dll
- %TEMP%\rarsfx0\x64\pe.dll
- %TEMP%\rarsfx0\pe.dll
- %TEMP%\rarsfx0\x64\msvcr80.dll
- %TEMP%\rarsfx0\msvcr80.dll
- %TEMP%\rarsfx0\x64\msvcp80.dll
- %TEMP%\rarsfx0\msvcp80.dll
- %TEMP%\rarsfx0\x64\msvcm80.dll
- %TEMP%\rarsfx0\msvcm80.dll
- %TEMP%\rarsfx0\x64\mfcm80u.dll
- %TEMP%\rarsfx0\mfcm80u.dll
- %TEMP%\rarsfx0\mfcm80.dll
- %TEMP%\rarsfx0\x64\mfcm80.dll
- %TEMP%\rarsfx0\x64\mfc80u.dll
- %TEMP%\rarsfx0\mfc80u.dll
- %TEMP%\rarsfx0\x64\mfc80.dll
- %TEMP%\rarsfx0\mfc80.dll
- %TEMP%\rarsfx0\scanpartition.dll
- %TEMP%\rarsfx0\x64\scanpartition.dll
- %TEMP%\rarsfx0\wimgapi.dll
- %TEMP%\rarsfx0\x64\wimgapi.dll
- <SYSTEM32>\ampa.sys
- %WINDIR%\syswow64\ampa.sys
- %WINDIR%\ampa.exe
- %TEMP%\rarsfx0\log\ampa3.log
- %TEMP%\rarsfx0\x64\microsoft.vc80.mfc.manifest
- %TEMP%\rarsfx0\microsoft.vc80.mfc.manifest
- %TEMP%\rarsfx0\x64\microsoft.vc80.crt.manifest
- %TEMP%\rarsfx0\microsoft.vc80.crt.manifest
- %TEMP%\rarsfx0\2mbr_bcd
- %TEMP%\rarsfx0\x64\2mbr_bcd
- %TEMP%\rarsfx0\x64\2gpt_bcd
- %TEMP%\rarsfx0\2gpt_bcd
- %TEMP%\rarsfx0\x64\native\wlh\amd64\fre\ampa.sys
- %TEMP%\rarsfx0\native\wlh\amd64\fre\ampa.sys
- %TEMP%\rarsfx0\x64\native\wnet\amd64\fre\ampa.sys
- %TEMP%\rarsfx0\native\wnet\amd64\fre\ampa.sys
- %TEMP%\rarsfx0\native\wlh\x86\fre\ampa.sys
- %TEMP%\rarsfx0\native\w2k\x86\fre\ampa.sys
- C:\amtag.bin
- %TEMP%\rarsfx0\libxml2-2.dll
- %TEMP%\rarsfx0\libwim-15.dll
- %TEMP%\rarsfx0\libgcc_s_sjlj-1.dll
- %TEMP%\rarsfx0\x64\7z.exe
- %TEMP%\rarsfx0\7z.exe
- %TEMP%\rarsfx0\x64\uninstall.bat
- %TEMP%\rarsfx0\uninstall.bat
- %TEMP%\rarsfx0\x64\install.bat
- %TEMP%\rarsfx0\install.bat
- %TEMP%\rarsfx0\wnd.ini
- %TEMP%\rarsfx0\x64\winpeshl.ini
- %TEMP%\rarsfx0\winpeshl.ini
- %TEMP%\rarsfx0\upgrade.ini
- %TEMP%\rarsfx0\x64\cfg.ini
- %TEMP%\rarsfx0\cfg.ini
- %TEMP%\rarsfx0\log\ampa2.log
- %TEMP%\rarsfx0\log\ampa1.log
- %TEMP%\rarsfx0\log\ampa0.log
- %TEMP%\rarsfx0\license.txt
- %TEMP%\rarsfx0\x64\lang\cn.txt
- %TEMP%\rarsfx0\native\w2k\x86\fre\ampa.exe
- %TEMP%\rarsfx0\native\wlh\x86\fre\ampa.exe
- %TEMP%\rarsfx0\native\wnet\amd64\fre\ampa.exe
- %TEMP%\rarsfx0\native\wlh\amd64\fre\ampa.exe
- %TEMP%\rarsfx0\x64\7z.dll
- %TEMP%\rarsfx0\7z.dll
- %TEMP%\rarsfx0\x64\winchk.exe
- %TEMP%\rarsfx0\winchk.exe
- %TEMP%\rarsfx0\x64\setupgreen64.exe
- %TEMP%\rarsfx0\setupgreen64.exe
- %TEMP%\rarsfx0\setupgreen32.exe
- %TEMP%\rarsfx0\x64\partassist.exe
- %TEMP%\rarsfx0\ntfs2fat32.exe
- %TEMP%\rarsfx0\partassist.exe
- %TEMP%\rarsfx0\x64\loaddrv_x64.exe
- %TEMP%\rarsfx0\loaddrv_x64.exe
- %TEMP%\rarsfx0\loaddrv_win32.exe
- %TEMP%\rarsfx0\loaddrv.exe
- %TEMP%\rarsfx0\epw.exe
- %TEMP%\rarsfx0\dyndiskconverter.exe
- %TEMP%\rarsfx0\x64\bcdboot.exe
- %TEMP%\rarsfx0\bcdboot.exe
- %TEMP%\rarsfx0\iconv.dll
- %WINDIR%\temp\udd75de.tmp
Присваивает атрибут 'скрытый' для следующих файлов
- C:\amtag.bin
Удаляет следующие файлы
- %WINDIR%\ampa.exe
- %WINDIR%\syswow64\ampa.sys
- %WINDIR%\temp\udd75de.tmp
Подменяет следующие файлы
- %WINDIR%\ampa.exe
- %WINDIR%\syswow64\ampa.sys
Сетевая активность
UDP
- DNS ASK di##tool.cn
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\rarsfx0\partassist.exe'
- '%TEMP%\rarsfx0\setupgreen64.exe' -u
- '%TEMP%\rarsfx0\loaddrv_x64.exe' -u
- '%TEMP%\rarsfx0\setupgreen64.exe'
- '%TEMP%\rarsfx0\loaddrv_x64.exe'
- '%TEMP%\rarsfx0\setupgreen64.exe' -u' (со скрытым окном)
- '%TEMP%\rarsfx0\loaddrv_x64.exe' -u' (со скрытым окном)
- '%TEMP%\rarsfx0\setupgreen64.exe' ' (со скрытым окном)
- '%TEMP%\rarsfx0\loaddrv_x64.exe' ' (со скрытым окном)
