Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие сервисы
- [<HKLM>\System\CurrentControlSet\Services\RManService] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\RManService] 'ImagePath' = '"%ProgramFiles%\Server\rutserv.exe"'
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /f /im rutserv.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im rfusclient.exe
Изменения в файловой системе
Создает следующие файлы
- C:\install.sfx.exe
- %WINDIR%\syswow64\config\systemprofile\appdata\locallow\microsoft\cryptneturlcache\content\bb06c0093717b8f556d7ecbb4720787e
- %WINDIR%\syswow64\config\systemprofile\appdata\locallow\microsoft\cryptneturlcache\metadata\bb06c0093717b8f556d7ecbb4720787e
- %WINDIR%\syswow64\config\systemprofile\appdata\locallow\microsoft\cryptneturlcache\content\378b079587a9184b2e2ab859cb263f40_524ad1b9b08d3c6450727265ae77b7d2
- %WINDIR%\syswow64\config\systemprofile\appdata\locallow\microsoft\cryptneturlcache\metadata\378b079587a9184b2e2ab859cb263f40_524ad1b9b08d3c6450727265ae77b7d2
- %WINDIR%\syswow64\config\systemprofile\appdata\locallow\microsoft\cryptneturlcache\content\3c987c966d19b79b9d9f35b962fcc8fa
- %WINDIR%\syswow64\config\systemprofile\appdata\locallow\microsoft\cryptneturlcache\metadata\3c987c966d19b79b9d9f35b962fcc8fa
- %ProgramFiles%\server\logs\rms_log_2019-11.html
- %ProgramFiles%\server\vp8encoder.dll
- %ProgramFiles%\server\vp8decoder.dll
- %ProgramFiles%\server\rutserv.exe
- nul
- %ProgramFiles%\server\rfusclient.exe
- C:\hex\install.bat
- C:\hex\vp8encoder.dll
- C:\hex\vp8decoder.dll
- C:\hex\rutserv.exe
- C:\hex\rfusclient.exe
- C:\hex\regedit.reg
- C:\hex\install.vbs
- C:\install.exe
- C:\1.bat
- %WINDIR%\syswow64\config\systemprofile\appdata\locallow\microsoft\cryptneturlcache\metadata\8eb35376744f392396307460d546222d_ec1c46868a78521d3a7ed5209ef9cb19
- %WINDIR%\syswow64\config\systemprofile\appdata\locallow\microsoft\cryptneturlcache\content\8eb35376744f392396307460d546222d_ec1c46868a78521d3a7ed5209ef9cb19
Присваивает атрибут 'скрытый' для следующих файлов
- %ProgramFiles%\server\rfusclient.exe
- %ProgramFiles%\server\rutserv.exe
- %ProgramFiles%\server\vp8decoder.dll
- %ProgramFiles%\server\vp8encoder.dll
Удаляет следующие файлы
- C:\hex\install.vbs
- C:\hex\regedit.reg
- C:\hex\rfusclient.exe
- C:\hex\rutserv.exe
- C:\hex\vp8decoder.dll
- C:\hex\vp8encoder.dll
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
- ClassName: '' WindowName: ''
- ClassName: 'RegEdit_RegEdit' WindowName: ''
Создает и запускает на исполнение
- 'C:\install.sfx.exe' -p1 -d
- 'C:\install.exe'
- '%WINDIR%\syswow64\wscript.exe' "C:\Hex\install.vbs"
- '%ProgramFiles%\server\rutserv.exe' /silentinstall
- '%ProgramFiles%\server\rutserv.exe' /firewall
- '%ProgramFiles%\server\rutserv.exe' /start
- '%ProgramFiles%\server\rutserv.exe'
- '%ProgramFiles%\server\rfusclient.exe'
- '%ProgramFiles%\server\rfusclient.exe' /tray
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\Hex\install.bat" "' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\1.bat" "
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\Hex\install.bat" "
- '%WINDIR%\syswow64\reg.exe' delete "HKLM\SYSTEM\Remote Manipulator System" /f
- '%WINDIR%\syswow64\regedit.exe' /s "regedit.reg"
- '%WINDIR%\syswow64\timeout.exe' 1
- '%WINDIR%\syswow64\timeout.exe' 2
- '%WINDIR%\syswow64\attrib.exe' +s +h "%ProgramFiles%\Server\*.*"
- '%WINDIR%\syswow64\timeout.exe' 3
