Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\WinHelp32] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\WinHelp32] 'ImagePath' = '%WINDIR%\WinHelp32.exe -svc'
Создает следующие сервисы
- 'WinHelp32' %WINDIR%\WinHelp32.exe -svc
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\dllhost.exe
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\winhelp32.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\parnas_01.jpg
- %HOMEPATH%\desktop\file_p_00000000_1371597592.docx
- %HOMEPATH%\desktop\coffee.bmp
Изменения в файловой системе
Создает следующие файлы
- %ALLUSERSPROFILE%\rscom.dll.dat
- %ALLUSERSPROFILE%\rscom.dll
- %ALLUSERSPROFILE%\ravmond.exe
- %WINDIR%\winhelp32.exe
- %WINDIR%\rscom.dll
- %WINDIR%\rscom.dll.dat
Присваивает атрибут 'скрытый' для следующих файлов
- %WINDIR%\winhelp32.exe
- %WINDIR%\rscom.dll
- %WINDIR%\rscom.dll.dat
Перемещает следующие файлы
- %ALLUSERSPROFILE%\ravmond.exe в %WINDIR%\temp\1013725.bak
- %ALLUSERSPROFILE%\rscom.dll.dat в %WINDIR%\temp\1013756.bak
- %ALLUSERSPROFILE%\rscom.dll в %WINDIR%\temp\1013772.bak
Сетевая активность
Подключается к
- '18#.#15.203.34':24690
- '18#.#15.203.34':443
TCP
Другие
- '18#.#15.203.34':24690
- '18#.#15.203.34':443
Другое
Ищет следующие окна
- ClassName: 'CLIPBRDWNDCLASS' WindowName: ''
Создает и запускает на исполнение
- '%ALLUSERSPROFILE%\ravmond.exe'
- '%WINDIR%\winhelp32.exe' -svc
- '<SYSTEM32>\dllhost.exe' ' (со скрытым окном)
- '%ALLUSERSPROFILE%\ravmond.exe' ' (со скрытым окном)
- '%WINDIR%\syswow64\svchost.exe' -k netsvcs' (со скрытым окном)
- '%WINDIR%\syswow64\dllhost.exe' -ks' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\dllhost.exe'
- '%WINDIR%\syswow64\svchost.exe' -k netsvcs
- '%WINDIR%\syswow64\dllhost.exe' -ks
