Техническая информация
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\net.exe' stop AdskLicensingService
- '%WINDIR%\syswow64\taskkill.exe' /F /IM "AdskLicensingService.exe"
- '%WINDIR%\syswow64\taskkill.exe' /F /IM "AdskLicensingAgent.exe"
- '%WINDIR%\syswow64\taskkill.exe' /F /IM "ADPClientService.exe"
- '%WINDIR%\syswow64\taskkill.exe' /F /IM "AdskLicensingAnalyticsClient.exe"
- '%WINDIR%\syswow64\taskkill.exe' /F /IM "AdskLicensingInstHelper.exe"
- '%WINDIR%\syswow64\taskkill.exe' /F /IM "lmgrd.exe"
- '%WINDIR%\syswow64\taskkill.exe' /F /IM "adskflex.exe"
- '%WINDIR%\syswow64\taskkill.exe' /F /IM "lmutil.exe"
- '%WINDIR%\syswow64\taskkill.exe' /F /IM "lmtools.exe"
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\wobbler_c.exe
- %LOCALAPPDATA%low\ep2m3b3325g9
- %LOCALAPPDATA%low\m87azo58pp8k
- %LOCALAPPDATA%low\ese8po4g86k6
- %LOCALAPPDATA%low\qucv3f5g0c61
- %LOCALAPPDATA%low\qucv3f5g0c61-shm
- %LOCALAPPDATA%low\o15fuq2ilkyc
- %LOCALAPPDATA%low\7kz1u27inxg5
- %LOCALAPPDATA%low\7kz1u27inxg5-shm
- %LOCALAPPDATA%low\08ns3g94bkfl
- %LOCALAPPDATA%low\343fka99s0lj
- %LOCALAPPDATA%low\1222c34g44sm
- %LOCALAPPDATA%low\vkjnxq4tft8u
- %LOCALAPPDATA%low\yd2z0vt2lc5v
- %LOCALAPPDATA%low\duafsof0nzz5
- %LOCALAPPDATA%low\q25mg9rui72o
- %LOCALAPPDATA%low\t5h2dt3h6p4u
- %LOCALAPPDATA%low\xy22scbv8v1f
- %LOCALAPPDATA%low\nssdbm3.dll
- %LOCALAPPDATA%low\softokn3.dll
- <Текущая директория>\autodesk license patcher installer.exe
- C:\autodesklicensepatcherinstaller\files\task\autodesk.xml
- C:\autodesklicensepatcherinstaller\files\tweak\tweak.reg
- C:\autodesklicensepatcherinstaller\autodesklicensepatcherinstaller.bat
- C:\autodesklicensepatcherinstaller\files\networklicensemanager\license.lic
- C:\autodesklicensepatcherinstaller\files\networklicensemanager\adskflex.exe
- C:\autodesklicensepatcherinstaller\files\networklicensemanager\lmgrd.exe
- C:\autodesklicensepatcherinstaller\files\patchedfiles\version.dll
- C:\autodesklicensepatcherinstaller\files\service\service.exe
- %LOCALAPPDATA%low\nss3.dll
- nul
- %LOCALAPPDATA%low\msvcp140.dll
- %LOCALAPPDATA%low\vcruntime140.dll
- %LOCALAPPDATA%low\mozglue.dll
- %LOCALAPPDATA%low\freebl3.dll
- %LOCALAPPDATA%low\sqlite3.dll
- %LOCALAPPDATA%low\2hx6k8vyfo3t
Удаляет следующие файлы
- %LOCALAPPDATA%low\t5h2dt3h6p4u
- %LOCALAPPDATA%low\2hx6k8vyfo3t
- %LOCALAPPDATA%low\xy22scbv8v1f
- %LOCALAPPDATA%low\q25mg9rui72o
- %LOCALAPPDATA%low\duafsof0nzz5
- %LOCALAPPDATA%low\yd2z0vt2lc5v
- %LOCALAPPDATA%low\vkjnxq4tft8u
- %LOCALAPPDATA%low\1222c34g44sm
- %LOCALAPPDATA%low\343fka99s0lj
- %LOCALAPPDATA%low\08ns3g94bkfl
- %LOCALAPPDATA%low\7kz1u27inxg5
- %LOCALAPPDATA%low\7kz1u27inxg5-shm
- %LOCALAPPDATA%low\o15fuq2ilkyc
- %LOCALAPPDATA%low\qucv3f5g0c61
- %LOCALAPPDATA%low\qucv3f5g0c61-shm
- %LOCALAPPDATA%low\ese8po4g86k6
- %LOCALAPPDATA%low\m87azo58pp8k
- %LOCALAPPDATA%low\ep2m3b3325g9
- %LOCALAPPDATA%low\nss3.dll
- %LOCALAPPDATA%low\sqlite3.dll
Сетевая активность
Подключается к
- '51.##5.166.178':80
TCP
Запросы HTTP GET
- http://51.##5.166.178/aN7jD0qO6kT5bK5bQ4eR8fE1xP7hL2vK/msvcp140.dll
- http://51.##5.166.178/aN7jD0qO6kT5bK5bQ4eR8fE1xP7hL2vK/vcruntime140.dll
- http://51.##5.166.178/aN7jD0qO6kT5bK5bQ4eR8fE1xP7hL2vK/mozglue.dll
- http://51.##5.166.178/aN7jD0qO6kT5bK5bQ4eR8fE1xP7hL2vK/freebl3.dll
- http://51.##5.166.178/aN7jD0qO6kT5bK5bQ4eR8fE1xP7hL2vK/softokn3.dll
- http://51.##5.166.178/aN7jD0qO6kT5bK5bQ4eR8fE1xP7hL2vK/sqlite3.dll
- http://51.##5.166.178/aN7jD0qO6kT5bK5bQ4eR8fE1xP7hL2vK/nssdbm3.dll
- http://51.##5.166.178/aN7jD0qO6kT5bK5bQ4eR8fE1xP7hL2vK/nss3.dll
Запросы HTTP POST
- http://51.##5.166.178/
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\wobbler_c.exe'
- '<Текущая директория>\autodesk license patcher installer.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\AutodeskLicensePatcherInstaller\AutodeskLicensePatcherInstaller.bat" "
- '%WINDIR%\syswow64\chcp.com' 1254
- '%WINDIR%\syswow64\mode.com' con: cols=70 lines=15
- '%WINDIR%\syswow64\reg.exe' add hkcu\software\classes\.Admin\shell\runas\command /f /ve /d "cmd /x /d /r set \"f0=%2\" &call \"%2\" %3"
- '%WINDIR%\syswow64\fltmc.exe'
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 15
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 5
- '%WINDIR%\syswow64\net1.exe' stop AdskLicensingService
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -nop -c "Get-WmiObject -Query ' select * from Win32_Product where Name like \"%Autodesk Network License Manager%\" ' | ForEach-Object { ($_).Uninstall()}"
