Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\VolumeDisk0] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\VolumeDisk0] 'ImagePath' = '%ALLUSERSPROFILE%\WindowsVolume\sysdisk.exe'
Создает следующие сервисы
- 'VolumeDisk0' %ALLUSERSPROFILE%\WindowsVolume\sysdisk.exe
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /im rfusclient.exe /f
- '%WINDIR%\syswow64\taskkill.exe' /im rutserv.exe /f
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\$inst\2.tmp
- %ALLUSERSPROFILE%\windowsvolume\volumedisk.exe
- %ALLUSERSPROFILE%\windowsvolume\vp8decoder.dll
- %ALLUSERSPROFILE%\windowsvolume\russian.lg
- %ALLUSERSPROFILE%\windowsvolume\diskupdate1.exe
- %ALLUSERSPROFILE%\windowsvolume\diskinstall2.bat
- %ALLUSERSPROFILE%\windowsvolume\diskinstall.bat
- %ALLUSERSPROFILE%\windowsvolume\vp8encoder.dll
- %ALLUSERSPROFILE%\windowsvolume\opendisk.exe
- %ALLUSERSPROFILE%\windowsvolume\diskupdate.exe
- %ALLUSERSPROFILE%\windowsvolume\config_set.reg
- %ALLUSERSPROFILE%\windowsvolume\diskserver.exe
- %ALLUSERSPROFILE%\windowsvolume\file3.exe
- %ALLUSERSPROFILE%\windowsvolume\file2.exe
- %ALLUSERSPROFILE%\windowsvolume\file.exe
- %TEMP%\$inst\temp_0.tmp
- %ALLUSERSPROFILE%\windowsvolume\sysdisk.exe
- %ALLUSERSPROFILE%\windowsvolume\diskpart.dat
Присваивает атрибут 'скрытый' для следующих файлов
- %ALLUSERSPROFILE%\windowsvolume\diskinstall.bat
- %ALLUSERSPROFILE%\windowsvolume\diskpart.dat
- %ALLUSERSPROFILE%\windowsvolume\diskserver.exe
- %ALLUSERSPROFILE%\windowsvolume\file.exe
- %ALLUSERSPROFILE%\windowsvolume\file2.exe
- %ALLUSERSPROFILE%\windowsvolume\file3.exe
- %ALLUSERSPROFILE%\windowsvolume\opendisk.exe
- %ALLUSERSPROFILE%\windowsvolume\russian.lg
- %ALLUSERSPROFILE%\windowsvolume\sysdisk.exe
- %ALLUSERSPROFILE%\windowsvolume\volumedisk.exe
- %ALLUSERSPROFILE%\windowsvolume\vp8decoder.dll
- %ALLUSERSPROFILE%\windowsvolume\vp8encoder.dll
Удаляет следующие файлы
- %TEMP%\$inst\temp_0.tmp
- %TEMP%\$inst\2.tmp
- %ALLUSERSPROFILE%\windowsvolume\config_set.reg
- %ALLUSERSPROFILE%\windowsvolume\diskupdate.exe
- %ALLUSERSPROFILE%\windowsvolume\diskupdate1.exe
- %ALLUSERSPROFILE%\windowsvolume\diskinstall2.bat
Сетевая активность
TCP
Запросы HTTP GET
- http://rm##sys.ru/utils/inet_id_notify.php?te####
UDP
- DNS ASK rm##sys.ru
- DNS ASK rm#####ver.tektonit.ru
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
- ClassName: 'MS_WINHELP' WindowName: ''
- ClassName: '' WindowName: ''
- ClassName: 'RegEdit_RegEdit' WindowName: ''
Создает и запускает на исполнение
- '%ALLUSERSPROFILE%\windowsvolume\diskserver.exe' -p834784734789789347892898943789787892
- '%ALLUSERSPROFILE%\windowsvolume\opendisk.exe'
- '%ALLUSERSPROFILE%\windowsvolume\file.exe'
- '%ALLUSERSPROFILE%\windowsvolume\file2.exe'
- '%ALLUSERSPROFILE%\windowsvolume\file3.exe'
- '%ALLUSERSPROFILE%\windowsvolume\diskupdate.exe' -p78347834893489894237834783478785788989543536
- '%ALLUSERSPROFILE%\windowsvolume\diskupdate1.exe'
- '%ALLUSERSPROFILE%\windowsvolume\sysdisk.exe' /silentinstall
- '%ALLUSERSPROFILE%\windowsvolume\sysdisk.exe' /firewall
- '%ALLUSERSPROFILE%\windowsvolume\sysdisk.exe' /start
- '%ALLUSERSPROFILE%\windowsvolume\sysdisk.exe'
- '%ALLUSERSPROFILE%\windowsvolume\volumedisk.exe'
- '%ALLUSERSPROFILE%\windowsvolume\volumedisk.exe' /tray
- '%ALLUSERSPROFILE%\windowsvolume\diskupdate.exe' -p78347834893489894237834783478785788989543536' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""%ALLUSERSPROFILE%\WindowsVolume\DiskInstall.bat" "' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""%ALLUSERSPROFILE%\WindowsVolume\DiskInstall.bat" "
- '%WINDIR%\syswow64\sc.exe' failure VolumeDisk0 reset= 0 actions= restart/500/restart/500/restart/500
- '%WINDIR%\syswow64\regedit.exe' /s "%ALLUSERSPROFILE%\WindowsVolume\config_set.reg"
- '%WINDIR%\syswow64\reg.exe' delete "HKLM\SYSTEM\SystemVolume0\SysHardDisk" /f
- '%WINDIR%\syswow64\sc.exe' delete AMIHardware
- '%WINDIR%\syswow64\sc.exe' delete IntelDriver
- '%WINDIR%\syswow64\sc.exe' delete ServiceWork
- '%WINDIR%\syswow64\sc.exe' delete NPackStereo
- '%WINDIR%\syswow64\sc.exe' delete VDeviceCard
- '%WINDIR%\syswow64\sc.exe' config VolumeDisk0 obj= LocalSystem type= interact type= own
- '%WINDIR%\syswow64\sc.exe' delete VolumeDisk0
- '%WINDIR%\syswow64\sc.exe' stop AMIHardware
- '%WINDIR%\syswow64\sc.exe' stop IntelDriver
- '%WINDIR%\syswow64\sc.exe' stop ServiceWork
- '%WINDIR%\syswow64\sc.exe' stop NPackStereo
- '%WINDIR%\syswow64\sc.exe' stop VDeviceCard
- '%WINDIR%\syswow64\sc.exe' stop VolumeDisk0
- '%WINDIR%\syswow64\sc.exe' stop RManService
- '%WINDIR%\syswow64\attrib.exe' +s +h "%ALLUSERSPROFILE%\WindowsVolume"
- '%WINDIR%\syswow64\sc.exe' delete RManService
- '%WINDIR%\syswow64\attrib.exe' +s +h "%ALLUSERSPROFILE%\WindowsVolume\*.*"
