Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\software\microsoft\windows\currentversion\run] 'RF_L' = '%ProgramFiles%\RF_L\RF.exe -i'
- [<HKLM>\software\microsoft\windows\currentversion\run] 'RFAutoPatch' = '%ProgramFiles%\RF_L\TC_AU.exe'
- [<HKLM>\SoftWare\RF_L\StartUp\HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = '<SYSTEM32>\userinit.exe,'
- [<HKLM>\SoftWare\RF_L\StartUp\HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe'
- [<HKLM>\SoftWare\RF_L\StartUp\HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'BCSSync' = '"%ProgramFiles%\Microsoft Office\Office14\BCSSync.exe" /DelayServices'
- [<HKLM>\SoftWare\RF_L\StartUp\HKLM\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'AppInit_DLLs' = ''
- [<HKLM>\SoftWare\RF_L\StartUp\HKLM\Software\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad] 'WebCheck' = '{E6FB5E20-DE35-11CF-9C87-00AA005127ED}'
- [<HKLM>\SoftWare\RF_L\StartUp\HKLM\Software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = 'userinit.exe'
- [<HKLM>\SoftWare\RF_L\StartUp\HKLM\Software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe'
- [<HKLM>\SoftWare\RF_L\StartUp\HKLM\Software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Windows] 'AppInit_DLLs' = ''
- [<HKLM>\SoftWare\RF_L\StartUp\HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad] 'WebCheck' = '{E6FB5E20-DE35-11CF-9C87-00AA005127ED}'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\rfau
- <SYSTEM32>\tasks\rfon
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует:
- Центр обеспечения безопасности (Security Center)
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\taskhost.exe
следующие пользовательские процессы:
- iexplore.exe
Перехватывает функции
в браузерах
- Процесс firefox.exe, модуль mswsock.dll
- Процесс iexplore.exe, модуль advapi32.dll
- Процесс firefox.exe, модуль nss3.dll
- Процесс firefox.exe, модуль advapi32.dll
- Процесс iexplore.exe, модуль mswsock.dll
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\nsydad5.tmp\system.dll
- %ProgramFiles(x86)%\rf_l\tc_ol.dll
- %ProgramFiles(x86)%\rf_l\tc_mh.dll
- %ProgramFiles(x86)%\rf_l\tc_kb32.exe
- %ProgramFiles(x86)%\rf_l\tc_io32.exe
- %ProgramFiles(x86)%\rf_l\tccr.dll
- %ProgramFiles(x86)%\rf_l\tc_au.exe
- %ProgramFiles(x86)%\rf_l\microsoft.vc90.mfc.manifest
- %ProgramFiles(x86)%\rf_l\tc_ad.dll
- %ProgramFiles(x86)%\rf_l\vcomp90.dll
- %ProgramFiles(x86)%\rf_l\msvcr90.dll
- %ProgramFiles(x86)%\rf_l\msvcp90.dll
- %ProgramFiles(x86)%\rf_l\msvcm90.dll
- %ProgramFiles(x86)%\rf_l\mfcm90.dll
- %ProgramFiles(x86)%\rf_l\mfc90.dll
- %ProgramFiles(x86)%\rf_l\tc_8sr.exe
- %ProgramFiles(x86)%\rf_l\microsoft.vc90.mfcloc.manifest
- %ProgramFiles(x86)%\rf_l\tc_patch.exe
- %ProgramFiles%\rf_l\tc_ad.dll.new
- <SYSTEM32>\tc_startup\0x9999\adobe flash player updater
- <SYSTEM32>\tc_startup\0x9999\adobe acrobat update task
- %ProgramFiles%\rf_l\log\tclog_debug_2022_04.tcbak
- %ProgramFiles%\rf_l\log\tclog_2022_04.txt
- %ProgramFiles(x86)%\rf_l\log\tclog_2022_04.txt
- %ProgramFiles%\rf_l\tc_sign.exe.new
- %ProgramFiles(x86)%\rf_l\tc_ra.exe
- %ProgramFiles(x86)%\rf_l\tc_prih.dll
- %ProgramFiles(x86)%\rf_l\skin\status_red.bmp
- %ProgramFiles(x86)%\rf_l\skin\status_green.bmp
- %ProgramFiles(x86)%\rf_l\rf.exe
- %ProgramFiles(x86)%\rf_l\tc_default.sys
- %ProgramFiles(x86)%\rf_l\tc_un.exe
- %ProgramFiles(x86)%\rf_l\tc_sign.exe
- %ProgramFiles%\rf_l\rf.exe.new
- %ProgramFiles(x86)%\rf_l\microsoft.vc90.crt.manifest
- %ProgramFiles(x86)%\rf_l\mfc90kor.dll
- %ProgramFiles(x86)%\rf_l\tcxezh32.dll
- %ProgramFiles%\rf_l\tc_un.exe
- %ProgramFiles%\rf_l\tc_sign.exe
- %ProgramFiles%\rf_l\tc_ra.exe
- %ProgramFiles%\rf_l\tc_prih.dll
- %ProgramFiles%\rf_l\tc_patch.exe
- %ProgramFiles%\rf_l\rf.exe
- %ProgramFiles%\rf_l\tc_ol.dll
- %ProgramFiles%\rf_l\tccr.dll
- %ProgramFiles%\rf_l\tc_au.exe
- %ProgramFiles%\rf_l\tc_ad.dll
- %ProgramFiles%\rf_l\tc_8sr.exe
- %ProgramFiles%\rf_l\tc1_form.sys
- %TEMP%\nsydad5.tmp\userinfo.dll
- %ProgramFiles%\rf_l\tc_mh.dll
- %ProgramFiles%\rf_l\tc_svr.exe
- %ProgramFiles%\rf_l\tc_default.sys
- %ProgramFiles%\rf_l\tc_ezh64.dll
- %ProgramFiles(x86)%\rf_l\tc_ezh32.dll
- %ProgramFiles%\rf_l\msvcp90.dll
- %ProgramFiles(x86)%\rf_l\tc_svr.exe
- %ProgramFiles(x86)%\rf_l\tc1_form.sys
- %ProgramFiles%\rf_l\skin\status_red.bmp
- %ProgramFiles%\rf_l\skin\status_green.bmp
- %ProgramFiles%\rf_l\vcomp90.dll
- %ProgramFiles%\rf_l\msvcr90.dll
- %ProgramFiles%\rf_l\msvcm90.dll
- %ProgramFiles%\rf_l\tcxezh64.dll
- %ProgramFiles%\rf_l\mfcm90.dll
- %ProgramFiles%\rf_l\mfc90.dll
- %ProgramFiles%\rf_l\microsoft.vc90.mfcloc.manifest
- %ProgramFiles%\rf_l\microsoft.vc90.mfc.manifest
- %ProgramFiles%\rf_l\microsoft.vc90.crt.manifest
- %ProgramFiles%\rf_l\mfc90kor.dll
- <SYSTEM32>\tc_startup\0x9999\rfau
- <SYSTEM32>\tc_startup\0x9999\rfon
Удаляет следующие файлы
- %ProgramFiles%\rf_l\tc_ad.dll
- %ProgramFiles%\rf_l\rf.exe
- %ProgramFiles%\rf_l\tc_sign.exe
- %TEMP%\nsydad5.tmp\system.dll
- %TEMP%\nsydad5.tmp\userinfo.dll
Подменяет следующие файлы
- %ProgramFiles%\rf_l\tc_ad.dll
- %ProgramFiles%\rf_l\rf.exe
- %ProgramFiles%\rf_l\tc_sign.exe
Сетевая активность
Подключается к
- 'ch####p.dyndns.org':80
- '20#.#47.142.150':90
- 'microsoft.com':80
TCP
Запросы HTTP GET
- http://ch####p.dyndns.org/
- http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt
UDP
- DNS ASK ch####p.dyndns.org
- DNS ASK microsoft.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: 'RF_L Monitor'
- ClassName: '' WindowName: 'RF_L64 Monitor'
- ClassName: '' WindowName: 'TC_IO32'
- ClassName: '' WindowName: 'TC_Sign'
- ClassName: 'TrayNotifyWnd' WindowName: ''
- ClassName: 'MMCMainFrame' WindowName: ''
- ClassName: 'SysPager' WindowName: ''
- ClassName: 'ToolbarWindow32' WindowName: ''
- ClassName: 'NotifyIconOverflowWindow' WindowName: ''
Создает и запускает на исполнение
- '%ProgramFiles(x86)%\rf_l\rf.exe'
- '%ProgramFiles%\rf_l\rf.exe'
- '%ProgramFiles(x86)%\rf_l\tc_io32.exe'
- '%ProgramFiles%\rf_l\tc_sign.exe'
- '%ProgramFiles%\rf_l\tc_ra.exe' cmd /c schtasks /delete /f /tn RFON
- '%ProgramFiles%\rf_l\tc_ra.exe' cmd /c schtasks /delete /f /tn RFAU
- '%ProgramFiles%\rf_l\tc_ra.exe' cmd /c schtasks /Create /sc ONLOGON /tn RFON /F /rl highest /tr \"C:\Progra~1\RF_L\RF.exe -i\"
- '%ProgramFiles%\rf_l\tc_ra.exe' cmd /c schtasks /Create /sc ONLOGON /tn RFAU /F /rl highest /tr 'C:\Progra~1\RF_L\tc_au.exe'
- '%ProgramFiles%\rf_l\rf.exe' ' (со скрытым окном)
- '%ProgramFiles(x86)%\rf_l\tc_io32.exe' ' (со скрытым окном)
- '<SYSTEM32>\regsvr32.exe' /s "%ProgramFiles%\RF_L\tc_OL.dll"' (со скрытым окном)
- '%ProgramFiles%\rf_l\tc_sign.exe' ' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' cmd /c schtasks /delete /f /tn RFON' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' cmd /c schtasks /delete /f /tn RFAU' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' cmd /c schtasks /Create /sc ONLOGON /tn RFAU /F /rl highest /tr 'C:\Progra~1\RF_L\tc_au.exe'' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' cmd /c schtasks /Create /sc ONLOGON /tn RFON /F /rl highest /tr "C:\Progra~1\RF_L\RF.exe -i"' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\regsvr32.exe' /s "%ProgramFiles%\RF_L\tc_OL.dll"
- '<SYSTEM32>\cmd.exe' cmd /c schtasks /delete /f /tn RFON
- '<SYSTEM32>\cmd.exe' cmd /c schtasks /delete /f /tn RFAU
- '<SYSTEM32>\cmd.exe' cmd /c schtasks /Create /sc ONLOGON /tn RFAU /F /rl highest /tr 'C:\Progra~1\RF_L\tc_au.exe'
- '<SYSTEM32>\cmd.exe' cmd /c schtasks /Create /sc ONLOGON /tn RFON /F /rl highest /tr "C:\Progra~1\RF_L\RF.exe -i"
- '<SYSTEM32>\schtasks.exe' /delete /f /tn RFON
- '<SYSTEM32>\schtasks.exe' /delete /f /tn RFAU
- '<SYSTEM32>\schtasks.exe' /Create /sc ONLOGON /tn RFAU /F /rl highest /tr 'C:\Progra~1\RF_L\tc_au.exe'
- '<SYSTEM32>\schtasks.exe' /Create /sc ONLOGON /tn RFON /F /rl highest /tr "C:\Progra~1\RF_L\RF.exe -i"
