Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\] 'tvncontrol' = '"C:\Sygem\VNC\TightVNC64\tvnserver.exe" -controlservice -slave'
Создает следующие сервисы
- [<HKLM>\System\CurrentControlSet\Services\tvnserver] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\tvnserver] 'ImagePath' = '"C:\Sygem\VNC\TightVNC64\tvnserver.exe" -service'
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /IM tvnserver.exe /F
- '%WINDIR%\syswow64\taskkill.exe' /IM "Connexion Infotech.exe" /F
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\nsl6a22.tmp\nsexec.dll
- %TEMP%\setup log 2020-03-30 #001.txt
- %TEMP%\is-9dk22.tmp\dfmirage2.0.301.tmp
- C:\sygem\vnc\tightvnc64\tvnserver.exe
- C:\sygem\vnc\tightvnc64\tightvnc web site.url
- C:\sygem\vnc\tightvnc64\screenhooks64.dll
- C:\sygem\vnc\tightvnc64\screenhooks32.dll
- %TEMP%\is-qdmo6.tmp\_isetup\_setup64.tmp
- C:\sygem\vnc\tightvnc64\license.txt
- C:\sygem\vnc\tightvnc64\dfmirage2.0.301.exe
- C:\sygem\vnc\tightvnc64\connexion infotech.exe
- %TEMP%\nsl6a22.tmp\nsisunz.dll
- C:\sygem\vnc\tightvnc64.zip
- %TEMP%\nsl6a22.tmp\inetc.dll
- %TEMP%\nsl6a22.tmp\system.dll
- C:\sygem\vnc\tightvnc64\hookldr.exe
- %TEMP%\is-qdmo6.tmp\_isetup\_shfoldr.dll
Удаляет следующие файлы
- C:\sygem\vnc\tightvnc64.zip
Сетевая активность
TCP
Запросы HTTP GET
- http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt
UDP
- DNS ASK in###echdev.com
- DNS ASK microsoft.com
Другое
Ищет следующие окна
- ClassName: '#32770' WindowName: ''
- ClassName: 'SysListView32' WindowName: ''
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- 'C:\sygem\vnc\tightvnc64\tvnserver.exe' -install -silent
- 'C:\sygem\vnc\tightvnc64\dfmirage2.0.301.exe'
- '%TEMP%\is-9dk22.tmp\dfmirage2.0.301.tmp' /SL5="$A0210,367832,141824,C:\Sygem\VNC\TightVNC64\dfmirage2.0.301.exe"
- '%WINDIR%\syswow64\cmd.exe' /C ""C:\Sygem\VNC\tmp\tvnserver" -stop -silent"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C ""C:\Sygem\VNC\tmp\tvnserver" -remove -silent"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C "Taskkill /IM tvnserver.exe /F"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C "sc delete tvnserver"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C "Taskkill /IM "Connexion Infotech.exe" /F"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C ""C:\Sygem\VNC\TightVNC64\tvnserver" -install -silent"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C ""C:\Sygem\VNC\TightVNC64\dfmirage2.0.301.exe""' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C ""C:\Sygem\VNC\tmp\tvnserver" -stop -silent"
- '%WINDIR%\syswow64\cmd.exe' /C ""C:\Sygem\VNC\tmp\tvnserver" -remove -silent"
- '%WINDIR%\syswow64\cmd.exe' /C "Taskkill /IM tvnserver.exe /F"
- '%WINDIR%\syswow64\cmd.exe' /C "sc delete tvnserver"
- '%WINDIR%\syswow64\sc.exe' delete tvnserver
- '%WINDIR%\syswow64\cmd.exe' /C "Taskkill /IM "Connexion Infotech.exe" /F"
- '%WINDIR%\syswow64\cmd.exe' /C ""C:\Sygem\VNC\TightVNC64\tvnserver" -install -silent"
- '%WINDIR%\syswow64\cmd.exe' /C ""C:\Sygem\VNC\TightVNC64\dfmirage2.0.301.exe""
