Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'SMΔRT-Protection' = '%ProgramFiles(x86)%\Smadav\SMΔRTP.exe rts'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\smadav
- <SYSTEM32>\tasks\smadavsecondaryupdater
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /f /im SMΔRTP.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im SmadavProtect32.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im SmadavProtect64.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im SmadavSecondaryUpdater.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\7zipsfx.000\reg64.reg
- %ProgramFiles(x86)%\smadav\unins000.dat
- C:\users\public\desktop\smadδv.lnk
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\smadav antivirus\uninstall smadav.lnk
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\smadav antivirus\smadav.lnk
- %ProgramFiles(x86)%\smadav\is-s8v73.tmp
- %ProgramFiles(x86)%\smadav\is-tb47m.tmp
- %ProgramFiles(x86)%\smadav\is-nk188.tmp
- %ProgramFiles(x86)%\smadav\is-f25u7.tmp
- %ProgramFiles(x86)%\smadav\is-u4o88.tmp
- %ProgramFiles(x86)%\smadav\is-gdsgg.tmp
- %ProgramFiles(x86)%\smadav\is-m07d0.tmp
- %ProgramFiles(x86)%\smadav\is-b1mpc.tmp
- %ProgramFiles(x86)%\smadav\is-nfa8m.tmp
- %ProgramFiles(x86)%\smadav\is-q6q2q.tmp
- %ProgramFiles(x86)%\smadav\is-scc3m.tmp
- %ProgramFiles(x86)%\smadav\is-4ud83.tmp
- %ProgramFiles(x86)%\smadav\is-do3mk.tmp
- %TEMP%\is-8ru7p.tmp\_isetup\_isdecmp.dll
- %TEMP%\is-8ru7p.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-8ru7p.tmp\_isetup\_setup64.tmp
- %TEMP%\is-ooghe.tmp\smadav2022rev148.tmp
- %TEMP%\7zipsfx.000\smadav2022rev148.exe
- %TEMP%\7zipsfx.000\reg86.reg
- %APPDATA%\smadav\smadav.xml
- %APPDATA%\smadav\smadavsecondaryupdater.xml
Удаляет следующие файлы
- %TEMP%\is-8ru7p.tmp\_isetup\_isdecmp.dll
- %TEMP%\is-8ru7p.tmp\_isetup\_setup64.tmp
- %TEMP%\is-8ru7p.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-ooghe.tmp\smadav2022rev148.tmp
- %TEMP%\7zipsfx.000\reg64.reg
- %TEMP%\7zipsfx.000\reg86.reg
- %TEMP%\7zipsfx.000\smadav2022rev148.exe
Перемещает следующие файлы
- %ProgramFiles(x86)%\smadav\is-do3mk.tmp в %ProgramFiles(x86)%\smadav\unins000.exe
- %ProgramFiles(x86)%\smadav\is-4ud83.tmp в %ProgramFiles(x86)%\smadav\readme.txt
- %ProgramFiles(x86)%\smadav\is-scc3m.tmp в %ProgramFiles(x86)%\smadav\smδrtp.exe
- %ProgramFiles(x86)%\smadav\is-q6q2q.tmp в %ProgramFiles(x86)%\smadav\smadav.loov
- %ProgramFiles(x86)%\smadav\is-nfa8m.tmp в %ProgramFiles(x86)%\smadav\smadav-updater.exe
- %ProgramFiles(x86)%\smadav\is-b1mpc.tmp в %ProgramFiles(x86)%\smadav\smadengine.dll
- %ProgramFiles(x86)%\smadav\is-m07d0.tmp в %ProgramFiles(x86)%\smadav\smadextmenu64.dll
- %ProgramFiles(x86)%\smadav\is-gdsgg.tmp в %ProgramFiles(x86)%\smadav\smadhook32c.dll
- %ProgramFiles(x86)%\smadav\is-u4o88.tmp в %ProgramFiles(x86)%\smadav\smadhook64c.dll
- %ProgramFiles(x86)%\smadav\is-f25u7.tmp в %ProgramFiles(x86)%\smadav\smadavprotect32.exe
- %ProgramFiles(x86)%\smadav\is-nk188.tmp в %ProgramFiles(x86)%\smadav\smadavprotect64.exe
- %ProgramFiles(x86)%\smadav\is-tb47m.tmp в %ProgramFiles(x86)%\smadav\smadavhelper.exe
- %ProgramFiles(x86)%\smadav\is-s8v73.tmp в %ProgramFiles(x86)%\smadav\smadavsecondaryupdater.exe
- %ProgramFiles(x86)%\smadav\smadextmenu64.dll в %ProgramFiles(x86)%\smadav\smadextc64.dll
Сетевая активность
Подключается к
- 'le##ar.com':80
- 'dw##s.com':80
TCP
Запросы HTTP GET
- http://le##ar.com/smadstat.php?ma##################################################################################################################################
- http://www.le##ar.com/update/secure-smadav.txt
- http://www.le##ar.com/update/secure-smadav.txt/
Запросы HTTP POST
- http://dw##s.com/smadavstats15.php
UDP
- DNS ASK le##ar.com
- DNS ASK dw##s.com
Другое
Ищет следующие окна
- ClassName: 'ThunderRT6Main' WindowName: 'S m a d a v '
- ClassName: '' WindowName: 'SmaRTP'
- ClassName: 'ThunderRT6TextBox' WindowName: ''
- ClassName: '' WindowName: ''
- ClassName: 'RegEdit_RegEdit' WindowName: ''
- ClassName: '' WindowName: 'SmadHook32'
- ClassName: '' WindowName: 'SmadHook64'
- ClassName: '' WindowName: 'Windows Script Host'
- ClassName: 'msctls_updown32' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\7zipsfx.000\smadav2022rev148.exe' /VERYSILENT /SUPPRESSMSGBOXES /NORESTART /SP-
- '%TEMP%\is-ooghe.tmp\smadav2022rev148.tmp' /SL5="$130226,1230613,133120,%TEMP%\7ZipSfx.000\smadav2022rev148.exe" /VERYSILENT /SUPPRESSMSGBOXES /NORESTART /SP-
- '%ProgramFiles(x86)%\smadav\smδrtp.exe' rtc
- '%ProgramFiles(x86)%\smadav\smadavprotect64.exe'
- '%ProgramFiles(x86)%\smadav\smδrtp.exe'
- '%TEMP%\7zipsfx.000\smadav2022rev148.exe' /VERYSILENT /SUPPRESSMSGBOXES /NORESTART /SP-' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im SMΔRTP.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im SmadavProtect32.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im SmadavProtect64.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im SmadavSecondaryUpdater.exe' (со скрытым окном)
- '%WINDIR%\regedit.exe' /s reg64.reg' (со скрытым окном)
- '%WINDIR%\syswow64\schtasks.exe' /create /tn "smadav" /xml "%APPDATA%\Smadav\smadav.xml"' (со скрытым окном)
- '%WINDIR%\syswow64\regsvr32.exe' /s "%ProgramFiles(x86)%\Smadav\SmadExtc64.dll"' (со скрытым окном)
- '%WINDIR%\syswow64\schtasks.exe' /create /tn "SmadavSecondaryUpdater" /xml "%APPDATA%\Smadav\SmadavSecondaryUpdater.xml"' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\regsvr32.exe' /s "%ProgramFiles(x86)%\SMADAV\SmadExtMenu64.dll"
- '%WINDIR%\regedit.exe' /s reg64.reg
- '%WINDIR%\syswow64\schtasks.exe' /create /tn "smadav" /xml "%APPDATA%\Smadav\smadav.xml"
- '%WINDIR%\syswow64\regsvr32.exe' /s "%ProgramFiles(x86)%\Smadav\SmadExtc64.dll"
- '%WINDIR%\syswow64\schtasks.exe' /create /tn "SmadavSecondaryUpdater" /xml "%APPDATA%\Smadav\SmadavSecondaryUpdater.xml"
- '<SYSTEM32>\regsvr32.exe' /s "%ProgramFiles(x86)%\Smadav\SmadExtc64.dll"
