Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\SYSTEM\CurrentControlSet\Control\Session Manager] 'BootExecute' = 'autocheck autochk *'
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\ampa] 'ImagePath' = '<SYSTEM32>\ampa.sys'
Создает следующие сервисы
- 'ampa' <SYSTEM32>\ampa.sys
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /f /im PartAssist.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\rarsfx0\2gpt_bcd
- %TEMP%\rarsfx0\html\img\bt_hover.png
- %TEMP%\rarsfx0\html\img\bt_click.png
- %TEMP%\rarsfx0\html\img\bg_top.png
- %TEMP%\rarsfx0\html\img\bg_green.png
- %TEMP%\rarsfx0\html\img\bg_blue.png
- %TEMP%\rarsfx0\html\img\bg.png
- %TEMP%\rarsfx0\html\img\cd16.png
- %TEMP%\rarsfx0\html\img\bt_normal.png
- %TEMP%\rarsfx0\microsoft.vc90.crt.manifest
- %TEMP%\rarsfx0\microsoft.vc80.mfc.manifest
- %TEMP%\rarsfx0\microsoft.vc80.crt.manifest
- %TEMP%\rarsfx0\log\reg.log
- %TEMP%\rarsfx0\log\ampa9.log
- %TEMP%\rarsfx0\log\ampa84.log
- %TEMP%\rarsfx0\html\img\allocate-space.png
- %TEMP%\rarsfx0\log\ampa65.log
- %TEMP%\rarsfx0\html\img\convert-mbr-gpt.png
- %TEMP%\rarsfx0\html\img\icon_11_x.png
- %TEMP%\rarsfx0\html\img\icon_11.png
- %TEMP%\rarsfx0\html\img\icon_10.png
- %TEMP%\rarsfx0\html\img\icon_1.png
- %TEMP%\rarsfx0\html\img\icon-user.png
- %TEMP%\rarsfx0\html\img\icon-tech.png
- %TEMP%\rarsfx0\html\img\icon-small.png
- %TEMP%\rarsfx0\html\img\icon-security.png
- %TEMP%\rarsfx0\html\img\icon-location.png
- %TEMP%\rarsfx0\html\img\icon-hook-orange.png
- %TEMP%\rarsfx0\html\img\icon-gift.png
- %TEMP%\rarsfx0\html\img\icon-dot.png
- %TEMP%\rarsfx0\html\img\epw_small_normal.png
- %TEMP%\rarsfx0\html\img\disk-copy.png
- %TEMP%\rarsfx0\html\img\default.png
- %TEMP%\rarsfx0\log\ampa83.log
- %TEMP%\rarsfx0\manual.pdf
- %TEMP%\rarsfx0\log\ampa82.log
- %TEMP%\rarsfx0\log\ampa81.log
- %TEMP%\rarsfx0\log\ampa80.log
- %TEMP%\rarsfx0\log\ampa56.log
- %TEMP%\rarsfx0\log\ampa61.log
- %TEMP%\rarsfx0\log\ampa60.log
- %TEMP%\rarsfx0\log\ampa6.log
- %TEMP%\rarsfx0\log\ampa59.log
- %TEMP%\rarsfx0\log\ampa58.log
- %TEMP%\rarsfx0\log\ampa57.log
- %TEMP%\rarsfx0\log\ampa55.log
- %TEMP%\rarsfx0\log\ampa63.log
- %TEMP%\rarsfx0\log\ampa54.log
- %TEMP%\rarsfx0\log\ampa53.log
- %TEMP%\rarsfx0\log\ampa52.log
- %TEMP%\rarsfx0\log\ampa51.log
- %TEMP%\rarsfx0\log\ampa50.log
- %TEMP%\rarsfx0\log\ampa5.log
- %TEMP%\rarsfx0\html\img\icon_12.png
- %TEMP%\rarsfx0\html\img\copy-partition.png
- %TEMP%\rarsfx0\log\ampa64.log
- %TEMP%\rarsfx0\log\ampa67.log
- %TEMP%\rarsfx0\log\ampa62.log
- %TEMP%\rarsfx0\log\ampa8.log
- %TEMP%\rarsfx0\log\ampa79.log
- %TEMP%\rarsfx0\log\ampa78.log
- %TEMP%\rarsfx0\log\ampa77.log
- %TEMP%\rarsfx0\log\ampa76.log
- %TEMP%\rarsfx0\log\ampa75.log
- %TEMP%\rarsfx0\log\ampa74.log
- %TEMP%\rarsfx0\log\ampa73.log
- %TEMP%\rarsfx0\log\ampa72.log
- %TEMP%\rarsfx0\log\ampa71.log
- %TEMP%\rarsfx0\log\ampa70.log
- %TEMP%\rarsfx0\log\ampa7.log
- %TEMP%\rarsfx0\log\ampa69.log
- %TEMP%\rarsfx0\log\ampa68.log
- %TEMP%\rarsfx0\log\ampa66.log
- %TEMP%\rarsfx0\html\img\icon_12_x.png
- %TEMP%\rarsfx0\html\img\icon_13.png
- %TEMP%\rarsfx0\html\img\icon_2.png
- %TEMP%\rarsfx0\lang\es.txt
- %TEMP%\rarsfx0\lang\en.txt
- %TEMP%\rarsfx0\lang\de.txt
- %TEMP%\rarsfx0\lang\ca.txt
- %TEMP%\rarsfx0\lang\ar.txt
- %TEMP%\rarsfx0\native\wlh\amd64\fre\ampa.sys
- %TEMP%\rarsfx0\native\wnet\amd64\fre\ampa.sys
- %TEMP%\rarsfx0\native\wlh\x86\fre\ampa.sys
- %TEMP%\rarsfx0\native\w2k\x86\fre\ampa.sys
- %TEMP%\rarsfx0\html\img\wipe_hard_small_normal.png
- %TEMP%\rarsfx0\html\img\wipe-disk.png
- %TEMP%\rarsfx0\html\img\wintogo-s.png
- %TEMP%\rarsfx0\html\img\tb-bg.png
- %TEMP%\rarsfx0\html\img\split_small.png
- %TEMP%\rarsfx0\html\img\split-partition.png
- %TEMP%\rarsfx0\lang\fr.txt
- %TEMP%\rarsfx0\lang\it.txt
- %TEMP%\rarsfx0\log\ampa49.log
- %TEMP%\rarsfx0\lang\ja.txt
- %WINDIR%\syswow64\ampa.sys
- %TEMP%\rarsfx0\log\ampa85.log
- <SYSTEM32>\ampa.sys
- %WINDIR%\ampa.exe
- nul
- %TEMP%\6103.tmp\6104.tmp\6105.bat
- %TEMP%\5a20.tmp\5a31.tmp\5a42.bat
- %TEMP%\rarsfx0\lang\zh-tw.txt
- %TEMP%\rarsfx0\lang\vi.txt
- %TEMP%\rarsfx0\lang\tr.txt
- %TEMP%\rarsfx0\lang\ru.txt
- %TEMP%\rarsfx0\lang\pt-br.txt
- %TEMP%\rarsfx0\lang\pl.txt
- %TEMP%\rarsfx0\lang\nl.txt
- %TEMP%\rarsfx0\lang\nl-be.txt
- %TEMP%\rarsfx0\html\img\resize-move.png
- %TEMP%\rarsfx0\html\img\icon_ltop1.png
- %TEMP%\rarsfx0\html\img\rebuild.png
- %TEMP%\rarsfx0\html\img\icon_ltop.png
- %TEMP%\rarsfx0\html\img\icon_hook_green.png
- %TEMP%\rarsfx0\html\img\icon_hook_blue.png
- %TEMP%\rarsfx0\html\img\icon_email.png
- %TEMP%\rarsfx0\html\img\icon_down.png
- %TEMP%\rarsfx0\html\img\icon_d.png
- %TEMP%\rarsfx0\html\img\icon_car.png
- %TEMP%\rarsfx0\html\img\icon_90day.png
- %TEMP%\rarsfx0\html\img\icon_9_x.png
- %TEMP%\rarsfx0\html\img\icon_9.png
- %TEMP%\rarsfx0\html\img\icon_8.png
- %TEMP%\rarsfx0\html\img\icon_7.png
- %TEMP%\rarsfx0\html\img\icon_6.png
- %TEMP%\rarsfx0\html\img\icon_5.png
- %TEMP%\rarsfx0\html\img\icon_4.png
- %TEMP%\rarsfx0\html\img\icon_3.png
- %TEMP%\rarsfx0\html\img\icon_immediate.png
- %WINDIR%\temp\udd978d.tmp
- %TEMP%\rarsfx0\html\img\quick-partition.png
- %TEMP%\rarsfx0\html\img\icon_no.png
- %TEMP%\rarsfx0\html\img\partition-alignment.png
- %TEMP%\rarsfx0\html\img\migrate-os.png
- %TEMP%\rarsfx0\html\img\merge-partitions.png
- %TEMP%\rarsfx0\html\img\logo_pa.png
- %TEMP%\rarsfx0\html\img\img_upgrades.png
- %TEMP%\rarsfx0\html\img\icon_x.png
- %TEMP%\rarsfx0\html\img\icon_upgrade.png
- %TEMP%\rarsfx0\html\img\icon_up.png
- %TEMP%\rarsfx0\html\img\icon_unfold.png
- %TEMP%\rarsfx0\html\img\icon_trust.png
- %TEMP%\rarsfx0\html\img\icon_technical_support.png
- %TEMP%\rarsfx0\html\img\icon_support.png
- %TEMP%\rarsfx0\html\img\icon_star.png
- %TEMP%\rarsfx0\html\img\icon_receive.png
- %TEMP%\rarsfx0\html\img\icon_note.png
- %TEMP%\rarsfx0\html\img\rebuild(1).png
- %TEMP%\rarsfx0\lang\hu.txt
- %TEMP%\rarsfx0\log\ampa48.log
- %TEMP%\rarsfx0\log\ampa3.log
- %TEMP%\rarsfx0\loaddrv_x64.exe
- %TEMP%\rarsfx0\loaddrv_win32.exe
- %TEMP%\rarsfx0\help.exe
- %TEMP%\rarsfx0\gahlp.exe
- %TEMP%\rarsfx0\epw.exe
- %TEMP%\rarsfx0\dyndiskconverter.exe
- %TEMP%\rarsfx0\partassist.exe
- %TEMP%\rarsfx0\ntfs2fat32.exe
- %TEMP%\rarsfx0\native\wnet\amd64\fre\ampa.exe
- %TEMP%\rarsfx0\native\wlh\x86\fre\ampa.exe
- %TEMP%\rarsfx0\native\w2k\x86\fre\ampa.exe
- %TEMP%\rarsfx0\ambooter.exe
- %TEMP%\rarsfx0\7z.exe
- %TEMP%\rarsfx0\crash2.dmp
- %TEMP%\rarsfx0\bcdboot.exe
- %TEMP%\rarsfx0\mfc80u.dll
- %TEMP%\rarsfx0\peloaddrv.exe
- %TEMP%\rarsfx0\html\index-fr.html
- %TEMP%\rarsfx0\html\index-de.html
- %TEMP%\rarsfx0\html\home.html
- %TEMP%\rarsfx0\html\giveaway.html
- %TEMP%\rarsfx0\html\demo.html
- %TEMP%\rarsfx0\html\img\icon_ltop.gif
- %TEMP%\rarsfx0\html\img\icon_car.gif
- %TEMP%\rarsfx0\wintogoto3.exe
- %TEMP%\rarsfx0\wintogoto1.exe
- %TEMP%\rarsfx0\wintogoto.exe
- %TEMP%\rarsfx0\wintogo.exe
- %TEMP%\rarsfx0\winchk.exe
- %TEMP%\rarsfx0\wimlib-imagex.exe
- %TEMP%\rarsfx0\sfx-exec.exe
- %TEMP%\rarsfx0\setupgreen64.exe
- %TEMP%\rarsfx0\wimmgr.dll
- %TEMP%\rarsfx0\native\wlh\amd64\fre\ampa.exe
- %TEMP%\rarsfx0\wimgapi.dll
- %TEMP%\rarsfx0\webctrl.dll
- %TEMP%\rarsfx0\vhdmgr.dll
- %TEMP%\rarsfx0\7z.dll
- %TEMP%\rarsfx0\libgcc_s_sjlj-1.dll
- %TEMP%\rarsfx0\iconv.dll
- %TEMP%\rarsfx0\gptbcd.dll
- %TEMP%\rarsfx0\exfat.dll
- %TEMP%\rarsfx0\callbackctrl.dll
- %TEMP%\rarsfx0\botva2.dll
- %TEMP%\rarsfx0\html\img\bt_normal.bmp
- %TEMP%\rarsfx0\libxml2-2.dll
- %TEMP%\rarsfx0\html\img\bt_hover.bmp
- %TEMP%\rarsfx0\html\img\bt_click.bmp
- %TEMP%\rarsfx0\uninstall.bat
- %TEMP%\rarsfx0\install.bat
- %TEMP%\rarsfx0\cfg
- %TEMP%\rarsfx0\2mbr_bcd
- %TEMP%\rarsfx0\html\index-jp.html
- %TEMP%\rarsfx0\setupgreen32.exe
- %TEMP%\rarsfx0\mfc80.dll
- %TEMP%\rarsfx0\mfcm80.dll
- %TEMP%\rarsfx0\libwim-15.dll
- %TEMP%\rarsfx0\upgradeshow.dll
- %TEMP%\rarsfx0\uninstallab.dll
- %TEMP%\rarsfx0\ssdsecurityerase.dll
- %TEMP%\rarsfx0\scanpartition.dll
- %TEMP%\rarsfx0\pthreadgc2.dll
- %TEMP%\rarsfx0\pe.dll
- %TEMP%\rarsfx0\pathformat.dll
- %TEMP%\rarsfx0\msvcr90.dll
- %TEMP%\rarsfx0\msvcr80.dll
- %TEMP%\rarsfx0\msvcp90.dll
- %TEMP%\rarsfx0\msvcp80.dll
- %TEMP%\rarsfx0\msvcm90.dll
- %TEMP%\rarsfx0\msvcm80.dll
- %TEMP%\rarsfx0\mfcm80u.dll
- %TEMP%\rarsfx0\mfcbutton.dll
- %TEMP%\rarsfx0\html\index.html
- %TEMP%\rarsfx0\html\index2-de.html
- %TEMP%\rarsfx0\html\index2-fr.html
- %TEMP%\rarsfx0\log\ampa28.log
- %TEMP%\rarsfx0\log\ampa27.log
- %TEMP%\rarsfx0\log\ampa26.log
- %TEMP%\rarsfx0\log\ampa25.log
- %TEMP%\rarsfx0\log\ampa24.log
- %TEMP%\rarsfx0\log\ampa23.log
- %TEMP%\rarsfx0\log\ampa22.log
- %TEMP%\rarsfx0\log\ampa21.log
- %TEMP%\rarsfx0\log\ampa20.log
- %TEMP%\rarsfx0\log\ampa2.log
- %TEMP%\rarsfx0\log\ampa19.log
- %TEMP%\rarsfx0\log\ampa18.log
- %TEMP%\rarsfx0\log\ampa17.log
- %TEMP%\rarsfx0\log\ampa16.log
- %TEMP%\rarsfx0\log\ampa15.log
- %TEMP%\rarsfx0\log\ampa29.log
- %TEMP%\rarsfx0\log\ampa30.log
- %TEMP%\rarsfx0\log\ampa47.log
- %TEMP%\rarsfx0\log\ampa31.log
- %TEMP%\rarsfx0\log\ampa45.log
- %TEMP%\rarsfx0\log\ampa44.log
- %TEMP%\rarsfx0\log\ampa43.log
- %TEMP%\rarsfx0\log\ampa42.log
- %TEMP%\rarsfx0\log\ampa41.log
- %TEMP%\rarsfx0\log\ampa40.log
- %TEMP%\rarsfx0\log\ampa4.log
- %TEMP%\rarsfx0\log\ampa39.log
- %TEMP%\rarsfx0\log\ampa38.log
- %TEMP%\rarsfx0\log\ampa37.log
- %TEMP%\rarsfx0\log\ampa36.log
- %TEMP%\rarsfx0\log\ampa35.log
- %TEMP%\rarsfx0\log\ampa34.log
- %TEMP%\rarsfx0\log\ampa33.log
- %TEMP%\rarsfx0\log\ampa32.log
- %TEMP%\rarsfx0\log\ampa14.log
- %TEMP%\rarsfx0\html\img\ic-2.jpg
- %TEMP%\rarsfx0\log\ampa13.log
- %TEMP%\rarsfx0\html\img\ic-1.jpg
- %TEMP%\rarsfx0\html\img\bg_top.jpg
- %TEMP%\rarsfx0\html\img\bg_green.jpg
- %TEMP%\rarsfx0\html\img\bg_blue.jpg
- %TEMP%\rarsfx0\html\img\bg.jpg
- %TEMP%\rarsfx0\wnd.ini
- %TEMP%\rarsfx0\winpeshl.ini
- %TEMP%\rarsfx0\upgrade.ini
- %TEMP%\rarsfx0\pacfg.ini
- %TEMP%\rarsfx0\other.ini
- %TEMP%\rarsfx0\language.ini
- %TEMP%\rarsfx0\cfg.ini
- %TEMP%\rarsfx0\html\reg.html
- %TEMP%\rarsfx0\html\lite.html
- %TEMP%\rarsfx0\html\index2.html
- %TEMP%\rarsfx0\html\index2-jp.html
- %TEMP%\rarsfx0\html\img\down.jpg
- %TEMP%\rarsfx0\log\ampa46.log
- %TEMP%\rarsfx0\log\ampa11.log
- %TEMP%\rarsfx0\html\img\ic-3.jpg
- %TEMP%\rarsfx0\log\ampa10.log
- %TEMP%\rarsfx0\log\ampa1.log
- %TEMP%\rarsfx0\log\ampa0.log
- %TEMP%\rarsfx0\html\img\up.jpg
- %TEMP%\rarsfx0\html\img\icon_up.jpg
- %TEMP%\rarsfx0\html\img\icon_down.jpg
- %TEMP%\rarsfx0\html\img\icon-small.jpg
- %TEMP%\rarsfx0\html\img\icon-block.jpg
- %TEMP%\rarsfx0\html\img\ic-lean.jpg
- %TEMP%\rarsfx0\html\img\ic-9.jpg
- %TEMP%\rarsfx0\html\img\ic-8.jpg
- %TEMP%\rarsfx0\html\img\ic-7.jpg
- %TEMP%\rarsfx0\html\img\ic-6.jpg
- %TEMP%\rarsfx0\html\img\ic-5.jpg
- %TEMP%\rarsfx0\html\img\ic-4.jpg
- %TEMP%\rarsfx0\log\ampa12.log
- C:\amtag.bin
Присваивает атрибут 'скрытый' для следующих файлов
- C:\amtag.bin
Удаляет следующие файлы
- %TEMP%\5a20.tmp\5a31.tmp\5a42.bat
- %WINDIR%\ampa.exe
- <SYSTEM32>\ampa.sys
- %WINDIR%\syswow64\ampa.sys
- %WINDIR%\temp\udd978d.tmp
- %TEMP%\6103.tmp\6104.tmp\6105.bat
Подменяет следующие файлы
- %WINDIR%\ampa.exe
- <SYSTEM32>\ampa.sys
- %WINDIR%\syswow64\ampa.sys
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\rarsfx0\wintogoto1.exe'
- '%TEMP%\rarsfx0\wintogoto.exe'
- '%TEMP%\rarsfx0\wintogoto3.exe'
- '%TEMP%\rarsfx0\partassist.exe'
- '%TEMP%\rarsfx0\wintogo.exe'
- '%TEMP%\rarsfx0\setupgreen64.exe'
- '%TEMP%\rarsfx0\setupgreen64.exe' -u
- '%TEMP%\rarsfx0\loaddrv_x64.exe' -u
- '%TEMP%\rarsfx0\loaddrv_x64.exe'
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\5A20.tmp\5A31.tmp\5A42.bat %TEMP%\RarSFX0\WinToGoTO1.exe"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\6103.tmp\6104.tmp\6105.bat %TEMP%\RarSFX0\WinToGoTO3.exe"' (со скрытым окном)
- '%TEMP%\rarsfx0\setupgreen64.exe' ' (со скрытым окном)
- '%TEMP%\rarsfx0\setupgreen64.exe' -u' (со скрытым окном)
- '%TEMP%\rarsfx0\loaddrv_x64.exe' -u' (со скрытым окном)
- '%TEMP%\rarsfx0\loaddrv_x64.exe' ' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\5A20.tmp\5A31.tmp\5A42.bat %TEMP%\RarSFX0\WinToGoTO1.exe"
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\6103.tmp\6104.tmp\6105.bat %TEMP%\RarSFX0\WinToGoTO3.exe"
- '<SYSTEM32>\cacls.exe' "<SYSTEM32>\config\system"
- '<SYSTEM32>\timeout.exe' /t 5
