Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'ABNotify' = '%TEMP%\7ZipSfx.000\ABEventBackup.exe -auto'
Создает следующие сервисы
- [<HKLM>\System\CurrentControlSet\Services\amwrtdrv] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\amwrtdrv] 'ImagePath' = '<SYSTEM32>\amwrtdrv.sys'
- [<HKLM>\System\CurrentControlSet\Services\ammntdrv] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\ammntdrv] 'ImagePath' = '<SYSTEM32>\ammntdrv.sys'
- [<HKLM>\System\CurrentControlSet\Services\ambakdrv] 'Start' = '00000000'
- [<HKLM>\System\CurrentControlSet\Services\ambakdrv] 'ImagePath' = 'system32\ambakdrv.sys'
- [<HKLM>\System\CurrentControlSet\Services\Backupper Service] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\Backupper Service] 'ImagePath' = '"%TEMP%\7ZipSfx.000\ABService.exe"'
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\7zipsfx.000\2gpt_bcd
- %TEMP%\7zipsfx.000\ntsqlite.dll
- %TEMP%\7zipsfx.000\pe.dll
- %TEMP%\7zipsfx.000\peloaddrv.exe
- %TEMP%\7zipsfx.000\pxeui.exe
- %TEMP%\7zipsfx.000\qtcore4.dll
- %TEMP%\7zipsfx.000\ntlog.dll
- %TEMP%\7zipsfx.000\ntlogic.dll
- %TEMP%\7zipsfx.000\qtgui4.dll
- %TEMP%\7zipsfx.000\qtxml4.dll
- %TEMP%\7zipsfx.000\regex2.dll
- %TEMP%\7zipsfx.000\removebackupper.exe
- %TEMP%\7zipsfx.000\sendfeedback.exe
- %TEMP%\7zipsfx.000\shortcuttaskagent.exe
- %TEMP%\7zipsfx.000\qtnetwork4.dll
- %TEMP%\7zipsfx.000\qtwebkit4.dll
- %TEMP%\7zipsfx.000\nthelp.dll
- %TEMP%\7zipsfx.000\nassql.dll
- %TEMP%\7zipsfx.000\sqlite3.dll
- %TEMP%\7zipsfx.000\libssl-1_1.dll
- %TEMP%\7zipsfx.000\loaddrv_win32.exe
- %TEMP%\7zipsfx.000\loaddrv_x64.exe
- %TEMP%\7zipsfx.000\mfc80.dll
- %TEMP%\7zipsfx.000\mfc80u.dll
- %TEMP%\7zipsfx.000\mfcm80.dll
- %TEMP%\7zipsfx.000\mfcm80u.dll
- %TEMP%\7zipsfx.000\msvcm80.dll
- %TEMP%\7zipsfx.000\msvcm90.dll
- %TEMP%\7zipsfx.000\msvcp80.dll
- %TEMP%\7zipsfx.000\msvcp90.dll
- %TEMP%\7zipsfx.000\msvcr80.dll
- %TEMP%\7zipsfx.000\msvcr90.dll
- %TEMP%\7zipsfx.000\showpage.exe
- %TEMP%\7zipsfx.000\libcurl.dll
- %TEMP%\7zipsfx.000\notdpiaware.dll
- %TEMP%\7zipsfx.000\driver\amd64\ammntdrv.sys
- %TEMP%\7zipsfx.000\ssleay32.dll
- <SYSTEM32>\amwrtdrv.sys
- %WINDIR%\syswow64\winsevr.dat
- %PROGRAMDATA%\aomei\abconfig.dat
- %WINDIR%\syswow64\abbakconfig.dat
- %WINDIR%\temp\udd5834.tmp
- %WINDIR%\temp\udd5844.tmp
- %WINDIR%\temp\udd5855.tmp
- %PROGRAMDATA%\aomeibr\tasks2.2.xml
- %TEMP%\7zipsfx.000\log\abservice0.txt
- %PROGRAMDATA%\aomeibr\brlog.xml
- %TEMP%\7zipsfx.000\log\srv001_2019-10-02.log
- %PROGRAMDATA%\aomeibr\net\serial.ini
- %PROGRAMDATA%\aomeibr\net\token.ini
- %PROGRAMDATA%\aomeibr\net\global.ini
- C:\systag.bin
- <SYSTEM32>\ambakdrv.sys
- %TEMP%\7zipsfx.000\libcrypto-1_1.dll
- %TEMP%\7zipsfx.000\libeay32.dll
- %TEMP%\7zipsfx.000\log\reg.log
- %TEMP%\7zipsfx.000\tftp.dll
- %TEMP%\7zipsfx.000\tipinfo.exe
- %TEMP%\7zipsfx.000\uilogic.dll
- %TEMP%\7zipsfx.000\usbdetect.dll
- %TEMP%\7zipsfx.000\validcheck.exe
- %TEMP%\7zipsfx.000\vcomp.dll
- %TEMP%\7zipsfx.000\vss\amd64\vss03\vsscom.exe
- %TEMP%\7zipsfx.000\vss\amd64\vssvis\vsscom.exe
- %TEMP%\7zipsfx.000\vss\amd64\vssxp\vsscom.exe
- %TEMP%\7zipsfx.000\vss\win32\vss03\vss.dll
- %TEMP%\7zipsfx.000\vss\win32\vssvis\vss.dll
- %TEMP%\7zipsfx.000\vss\win32\vssxp\vss.dll
- %TEMP%\7zipsfx.000\vsscom.exe
- %TEMP%\7zipsfx.000\wimgapi.dll
- %TEMP%\7zipsfx.000\log\backupper0.txt
- %TEMP%\7zipsfx.000\loaddrv.exe
- %TEMP%\7zipsfx.000\sync.dll
- %TEMP%\7zipsfx.000\libamct.dll
- %TEMP%\7zipsfx.000\libamcbdb.dll
- %TEMP%\7zipsfx.000\libamcbconsole.dll
- %TEMP%\7zipsfx.000\abeventbackup.exe
- %TEMP%\7zipsfx.000\abregister.exe
- %TEMP%\7zipsfx.000\abrequestdlg.exe
- %TEMP%\7zipsfx.000\abschedhlp.exe
- %TEMP%\7zipsfx.000\abservice.exe
- %TEMP%\7zipsfx.000\abspawn.exe
- %TEMP%\7zipsfx.000\abspawnhlp.exe
- %TEMP%\7zipsfx.000\absync.exe
- %TEMP%\7zipsfx.000\abuserpass.exe
- %TEMP%\7zipsfx.000\ambackup.exe
- %TEMP%\7zipsfx.000\amcore.dll
- %TEMP%\7zipsfx.000\ammcauth.dll
- %TEMP%\7zipsfx.000\amnet.dll
- %TEMP%\7zipsfx.000\z5_control.cmd
- %TEMP%\7zipsfx.000\winpeshl.ini
- %TEMP%\7zipsfx.000\abcore.exe
- %PROGRAMDATA%\aomeibr\brfunction.ini
- %TEMP%\7zipsfx.000\amservice.dll
- %TEMP%\7zipsfx.000\version.ini
- %TEMP%\7zipsfx.000\adi.ico
- %TEMP%\7zipsfx.000\amldr
- %TEMP%\7zipsfx.000\amldr.mbr
- %TEMP%\7zipsfx.000\backuprecovery.ini
- %TEMP%\7zipsfx.000\cfg.ini
- %TEMP%\7zipsfx.000\color.xml
- %TEMP%\7zipsfx.000\2mbr_bcd
- %TEMP%\7zipsfx.000\dev.dat
- %TEMP%\7zipsfx.000\microsoft.vc80.crt.manifest
- %TEMP%\7zipsfx.000\microsoft.vc80.mfc.manifest
- %TEMP%\7zipsfx.000\microsoft.vc80.openmp.manifest
- %TEMP%\7zipsfx.000\microsoft.vc90.crt.manifest
- %TEMP%\7zipsfx.000\other.ini
- %TEMP%\7zipsfx.000\usermanual.pdf
- %TEMP%\7zipsfx.000\lang\en.txt
- %TEMP%\7zipsfx.000\z4_set.txt
- <SYSTEM32>\ammntdrv.sys
- %TEMP%\7zipsfx.000\awssns.dll
- %TEMP%\7zipsfx.000\backupper_starter.exe
- %TEMP%\7zipsfx.000\driver\i386\ammntdrv.sys
- %TEMP%\7zipsfx.000\driver\i386\amwrtdrv.sys
- %TEMP%\7zipsfx.000\driver\i386\msahci.sys
- %TEMP%\7zipsfx.000\driver\loaddrv_win32.exe
- %TEMP%\7zipsfx.000\driver\loaddrv_x64.exe
- %TEMP%\7zipsfx.000\encrypt.dll
- %TEMP%\7zipsfx.000\enumfolder.dll
- %TEMP%\7zipsfx.000\flbackup.dll
- %TEMP%\7zipsfx.000\funclogic.dll
- %TEMP%\7zipsfx.000\gptbcd.dll
- %TEMP%\7zipsfx.000\imgfile.dll
- %TEMP%\7zipsfx.000\ldm.dll
- %TEMP%\7zipsfx.000\lhbase.dll
- %TEMP%\7zipsfx.000\lib7zg.dll
- %TEMP%\7zipsfx.000\backup.dll
- %TEMP%\7zipsfx.000\driver\i386\ambakdrv.sys
- %TEMP%\7zipsfx.000\backupper.exe
- %TEMP%\7zipsfx.000\driver\amd64\msahci.sys
- %TEMP%\7zipsfx.000\abchhlp.exe
- %TEMP%\7zipsfx.000\botva2.dll
- %TEMP%\7zipsfx.000\brfat.dll
- %TEMP%\7zipsfx.000\brlog.dll
- %TEMP%\7zipsfx.000\brntfs.dll
- %TEMP%\7zipsfx.000\brvol.dll
- %TEMP%\7zipsfx.000\callbackctrl.dll
- %TEMP%\7zipsfx.000\clone.dll
- %TEMP%\7zipsfx.000\comn.dll
- %TEMP%\7zipsfx.000\compress.dll
- %TEMP%\7zipsfx.000\crashdumpper.dll
- %TEMP%\7zipsfx.000\device.dll
- %TEMP%\7zipsfx.000\devicemgr.dll
- %TEMP%\7zipsfx.000\diskmgr.dll
- %TEMP%\7zipsfx.000\download.dll
- %TEMP%\7zipsfx.000\driver\amd64\ambakdrv.sys
- %TEMP%\7zipsfx.000\driver\amd64\amwrtdrv.sys
- %PROGRAMDATA%\aomeibr\daytime.ini
Удаляет следующие файлы
- %TEMP%\7zipsfx.000\color.xml
- %TEMP%\7zipsfx.000\vsscom.exe
- %WINDIR%\temp\udd5834.tmp
- %WINDIR%\temp\udd5844.tmp
- %WINDIR%\temp\udd5855.tmp
Подменяет следующие файлы
- %TEMP%\7zipsfx.000\color.xml
- %TEMP%\7zipsfx.000\vsscom.exe
Сетевая активность
UDP
- DNS ASK ao###tech.com
- '<LOCALNET>.15.255':2016
Другое
Создает и запускает на исполнение
- '%TEMP%\7zipsfx.000\backupper.exe'
- '%TEMP%\7zipsfx.000\loaddrv.exe'
- '%TEMP%\7zipsfx.000\abservice.exe' -install
- '%TEMP%\7zipsfx.000\abservice.exe'
- '%TEMP%\7zipsfx.000\backupper.exe' ' (со скрытым окном)
- '%TEMP%\7zipsfx.000\vsscom.exe' /regserver' (со скрытым окном)
- '%WINDIR%\syswow64\wbem\wmic.exe' cpu get processorid' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\wbem\wmic.exe' cpu get processorid
