Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\tap0901] 'ImagePath' = 'system32\DRIVERS\tap0901.sys'
Создает следующие сервисы
- 'tap0901' system32\DRIVERS\tap0901.sys
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\nsc977f.tmp
- <SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\oem2.cat
- %TEMP%\{1267ed6a-8e87-1a45-1683-ee609cd02d40}\set2d58.tmp
- %TEMP%\{1267ed6a-8e87-1a45-1683-ee609cd02d40}\set2b26.tmp
- %TEMP%\{1267ed6a-8e87-1a45-1683-ee609cd02d40}\set2a2b.tmp
- %TEMP%\nsmcb89.tmp\nsexec.dll
- %ProgramFiles%\tap-windows\icon.ico
- %ProgramFiles%\tap-windows\license.txt
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\tap-windows\utilities\delete all tap virtual ethernet adapters.lnk
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\tap-windows\utilities\add a new tap virtual ethernet adapter.lnk
- %ProgramFiles%\tap-windows\bin\deltapall.bat
- %ProgramFiles%\tap-windows\bin\addtap.bat
- %ProgramFiles%\tap-windows\driver\tap0901.sys
- %ProgramFiles%\tap-windows\driver\tap0901.cat
- %ProgramFiles%\tap-windows\driver\oemvista.inf
- %ProgramFiles%\tap-windows\bin\tapinstall.exe
- %TEMP%\nsmcb89.tmp\system.dll
- %TEMP%\nsmcb89.tmp\userinfo.dll
- %ProgramFiles(x86)%\vpnvault\tap\tap-windows.exe
- %TEMP%\appsv\vpnv0.exe
- %TEMP%\nsr978f.tmp\vaultactions.dll
- %TEMP%\nsr978f.tmp\system.dll
- %WINDIR%\temp\uddb2bb.tmp
- %ProgramFiles%\tap-windows\uninstall.exe
Присваивает атрибут 'скрытый' для следующих файлов
- <SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\oem2.cat
Удаляет следующие файлы
- %TEMP%\{1267ed6a-8e87-1a45-1683-ee609cd02d40}\oemvista.inf
- %TEMP%\{1267ed6a-8e87-1a45-1683-ee609cd02d40}\tap0901.cat
- %TEMP%\{1267ed6a-8e87-1a45-1683-ee609cd02d40}\tap0901.sys
- %WINDIR%\temp\uddb2bb.tmp
- %TEMP%\nsmcb89.tmp\nsexec.dll
- %TEMP%\nsmcb89.tmp\system.dll
- %TEMP%\nsmcb89.tmp\userinfo.dll
- %TEMP%\appsv\vpnv0.exe
Перемещает следующие файлы
- %TEMP%\{1267ed6a-8e87-1a45-1683-ee609cd02d40}\set2a2b.tmp в %TEMP%\{1267ed6a-8e87-1a45-1683-ee609cd02d40}\oemvista.inf
- %TEMP%\{1267ed6a-8e87-1a45-1683-ee609cd02d40}\set2b26.tmp в %TEMP%\{1267ed6a-8e87-1a45-1683-ee609cd02d40}\tap0901.cat
- %TEMP%\{1267ed6a-8e87-1a45-1683-ee609cd02d40}\set2d58.tmp в %TEMP%\{1267ed6a-8e87-1a45-1683-ee609cd02d40}\tap0901.sys
Сетевая активность
TCP
Запросы HTTP GET
- http://do##.beeapi.net/api/getLatest/5a1876b2-86b3-4ee3-b594-ee117810766a/win/?ch#####################
- http://do##.beeapi.net/api/getLatest/6c006763-da99-498b-81a0-71f736b73617/win/?ch#####################
- http://vz####et.beeapi.net/5a1876b2-86b3-4ee3-b594-ee117810766a/build/9.21.2.0/tap-windows.exe
- http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt
- http://vz####et.beeapi.net/6c006763-da99-498b-81a0-71f736b73617/build/1.0.11.6/VPNVault.InstallerSign.exe
Запросы HTTP POST
- http://da##.beeapi.net/VPNVault
UDP
- DNS ASK da##.beeapi.net
- DNS ASK do##.beeapi.net
- DNS ASK vz####et.beeapi.net
- DNS ASK microsoft.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: 'Digital Signature Not Found'
Создает и запускает на исполнение
- '%TEMP%\appsv\vpnv0.exe' /S /SELECT_UTILITIES=1
- '%ProgramFiles%\tap-windows\bin\tapinstall.exe' hwids tap0901
- '%ProgramFiles%\tap-windows\bin\tapinstall.exe' install "%ProgramFiles%\TAP-Windows\driver\OemVista.inf" tap0901
- '%ProgramFiles%\tap-windows\bin\tapinstall.exe' hwids tap0901' (со скрытым окном)
- '%ProgramFiles%\tap-windows\bin\tapinstall.exe' install "%ProgramFiles%\TAP-Windows\driver\OemVista.inf" tap0901' (со скрытым окном)
