Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\RServer3] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\RServer3] 'ImagePath' = '"%WINDIR%\SysWOW64\rserver30\RServer3.exe" /service'
- [<HKLM>\System\CurrentControlSet\Services\mirrorv3] 'Start' = '00000001'
- [<HKLM>\System\CurrentControlSet\Services\mirrorv3] 'ImagePath' = 'system32\DRIVERS\rminiv3.sys'
- [<HKLM>\System\CurrentControlSet\Services\raddrvv3] 'Start' = '00000001'
- [<HKLM>\System\CurrentControlSet\Services\raddrvv3] 'ImagePath' = '%WINDIR%\SysWOW64\rserver30\raddrvv3.sys'
- [<HKLM>\System\CurrentControlSet\Services\Spooler] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\LanmanServer] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\Browser] 'Start' = '00000002'
Создает следующие сервисы
- 'RServer3' "%WINDIR%\SysWOW64\rserver30\RServer3.exe" /service
- 'mirrorv3' system32\DRIVERS\rminiv3.sys
- 'raddrvv3' %WINDIR%\SysWOW64\rserver30\raddrvv3.sys
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\net.exe' stop sharedaccess
- '%WINDIR%\syswow64\net.exe' stop rserver3
- '%WINDIR%\syswow64\taskkill.exe' /f /im ra3reset.exe
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\rserver30\famitrfc.exe
Изменения в файловой системе
Создает следующие файлы
- <Текущая директория>\rserv34ru_workstation\add_workstation.reg
- %WINDIR%\syswow64\rserver30\rminiv3.sys
- %WINDIR%\syswow64\rserver30\mirrorv3.dll
- %WINDIR%\syswow64\rserver30\mirrorv3.inf
- %WINDIR%\syswow64\rserver30\mirrorv3.cat
- %WINDIR%\syswow64\rserver30\raddrvv3.sys
- %WINDIR%\syswow64\rserver30\eula.txt
- %WINDIR%\syswow64\rserver30\radmin30.chm
- %WINDIR%\syswow64\rserver30\radmin30ru.chm
- %WINDIR%\syswow64\rserver30\1049.lng_rad
- %WINDIR%\syswow64\rserver30\nts64helper.dll
- %WINDIR%\syswow64\rserver30\wsock32.dll
- %APPDATA%\microsoft\installer\{3a8c4c87-d460-488a-a0aa-8993f6d355b1}\arpproducticon.exe
- %APPDATA%\microsoft\installer\{3a8c4c87-d460-488a-a0aa-8993f6d355b1}\z_menu_srvcfg_6bf1780b36ea432b9451dd84ff5c9d52.exe
- %APPDATA%\microsoft\installer\{3a8c4c87-d460-488a-a0aa-8993f6d355b1}\newshortcut4_6bf1780b36ea432b9451dd84ff5c9d52.exe
- %APPDATA%\microsoft\installer\{3a8c4c87-d460-488a-a0aa-8993f6d355b1}\newshortcut3_6bf1780b36ea432b9451dd84ff5c9d52.exe
- %APPDATA%\microsoft\windows\start menu\programs\radmin server 3\настройки radmin server.lnk
- %APPDATA%\microsoft\windows\start menu\programs\radmin server 3\справка.lnk
- %APPDATA%\microsoft\windows\start menu\programs\radmin server 3\запустить radmin server.lnk
- %APPDATA%\microsoft\windows\start menu\programs\radmin server 3\остановить radmin server.lnk
- %APPDATA%\microsoft\windows\start menu\programs\radmin server 3\удалить.lnk
- %TEMP%\{24c14f3f-539d-01c7-3eb9-351aee8e4a5e}\setde6c.tmp
- %TEMP%\{24c14f3f-539d-01c7-3eb9-351aee8e4a5e}\setdfd4.tmp
- %TEMP%\{24c14f3f-539d-01c7-3eb9-351aee8e4a5e}\sete0ee.tmp
- %TEMP%\{24c14f3f-539d-01c7-3eb9-351aee8e4a5e}\sete217.tmp
- <SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\oem2.cat
- %WINDIR%\syswow64\rserver30\rsetup64.exe
- %WINDIR%\temp\udd3996.tmp
- %WINDIR%\syswow64\rserver30\fam64helper.exe
- %WINDIR%\syswow64\rserver30\vcintcx.dll
- <Текущая директория>\rserv34ru_workstation\ra3reset.exe
- <Текущая директория>\rserv34ru_workstation\rserv34ru.msi
- <Текущая директория>\rserv34ru_workstation\run.bat
- %TEMP%\nsi86fb.tmp
- %TEMP%\nsy870c.tmp\system.dll
- %TEMP%\{3a8c4c87-d460-488a-a0aa-8993f6d355b1}\rsetup.exe
- %TEMP%\{3a8c4c87-d460-488a-a0aa-8993f6d355b1}\rsetup64.exe
- %TEMP%\{3a8c4c87-d460-488a-a0aa-8993f6d355b1}\firewallinstallhelper.dll
- %TEMP%\{3a8c4c87-d460-488a-a0aa-8993f6d355b1}\prevvercfg.bin
- %WINDIR%\syswow64\rserver30\winlpcdl.dll
- %WINDIR%\syswow64\rserver30\winlpcdl2.dll
- %WINDIR%\syswow64\rserver30\famitrfc.exe
- %WINDIR%\syswow64\rserver30\famitrf2.exe
- %WINDIR%\syswow64\rserver30\firewallinstallhelper.dll
- %WINDIR%\syswow64\rserver30\rserver3.exe
- %WINDIR%\syswow64\rserver30\r_sui.dll
- %WINDIR%\syswow64\rserver30\rcursor.dll
- %WINDIR%\syswow64\rserver30\rsl.exe
- %WINDIR%\syswow64\rserver30\rchatx.dll
- %WINDIR%\syswow64\rserver30\chatlogs\info.txt
- %WINDIR%\syswow64\rserver30\rschatx.dll
- %WINDIR%\syswow64\rserver30\chatlpcx.dll
- %WINDIR%\syswow64\rserver30\raudiox.dll
- %WINDIR%\syswow64\rserver30\voicex.dll
- %WINDIR%\syswow64\rserver30\rsaudiox.dll
- %WINDIR%\syswow64\rserver30\vcintsx.dll
- %WINDIR%\temp\udd6af3.tmp
Присваивает атрибут 'скрытый' для следующих файлов
- <SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\oem2.cat
Удаляет следующие файлы
- %TEMP%\{24c14f3f-539d-01c7-3eb9-351aee8e4a5e}\mirrorv3.cat
- %TEMP%\{24c14f3f-539d-01c7-3eb9-351aee8e4a5e}\mirrorv3.dll
- %TEMP%\{24c14f3f-539d-01c7-3eb9-351aee8e4a5e}\mirrorv3.inf
- %TEMP%\{24c14f3f-539d-01c7-3eb9-351aee8e4a5e}\rminiv3.sys
- %WINDIR%\temp\udd3996.tmp
- %WINDIR%\temp\udd6af3.tmp
- %TEMP%\{3a8c4c87-d460-488a-a0aa-8993f6d355b1}\firewallinstallhelper.dll
- %TEMP%\{3a8c4c87-d460-488a-a0aa-8993f6d355b1}\prevvercfg.bin
- %TEMP%\{3a8c4c87-d460-488a-a0aa-8993f6d355b1}\rsetup.exe
- %TEMP%\{3a8c4c87-d460-488a-a0aa-8993f6d355b1}\rsetup64.exe
- <Текущая директория>\rserv34ru_workstation\ra3reset.exe
Перемещает следующие файлы
- %TEMP%\{24c14f3f-539d-01c7-3eb9-351aee8e4a5e}\setde6c.tmp в %TEMP%\{24c14f3f-539d-01c7-3eb9-351aee8e4a5e}\rminiv3.sys
- %TEMP%\{24c14f3f-539d-01c7-3eb9-351aee8e4a5e}\setdfd4.tmp в %TEMP%\{24c14f3f-539d-01c7-3eb9-351aee8e4a5e}\mirrorv3.cat
- %TEMP%\{24c14f3f-539d-01c7-3eb9-351aee8e4a5e}\sete0ee.tmp в %TEMP%\{24c14f3f-539d-01c7-3eb9-351aee8e4a5e}\mirrorv3.dll
- %TEMP%\{24c14f3f-539d-01c7-3eb9-351aee8e4a5e}\sete217.tmp в %TEMP%\{24c14f3f-539d-01c7-3eb9-351aee8e4a5e}\mirrorv3.inf
Изменяет следующие файлы
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '<Текущая директория>\rserv34ru_workstation\ra3reset.exe'
- '%TEMP%\{3a8c4c87-d460-488a-a0aa-8993f6d355b1}\rsetup64.exe' /stop
- '%WINDIR%\syswow64\rserver30\rsetup64.exe' /intsetup
- '%WINDIR%\syswow64\rserver30\rsetup64.exe' /start
- '%WINDIR%\syswow64\rserver30\rserver3.exe' /service
- '%WINDIR%\syswow64\rserver30\famitrfc.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""<Текущая директория>\rserv34ru_workstation\run.bat" "
- '%WINDIR%\syswow64\net1.exe' stop rserver3
- '%WINDIR%\syswow64\net1.exe' stop sharedaccess
- '%WINDIR%\syswow64\sc.exe' config sharedaccess start= disabled
- '%WINDIR%\syswow64\sc.exe' failure browser reset= 86400 actions= restart/60000/restart/60000/restart/60000
- '%WINDIR%\syswow64\sc.exe' config browser start= auto
- '%WINDIR%\syswow64\sc.exe' failure lanmanserver reset= 86400 actions= restart/60000/restart/60000/restart/60000
- '%WINDIR%\syswow64\net.exe' start rserver3
- '%WINDIR%\syswow64\sc.exe' config lanmanserver start= auto
- '%WINDIR%\syswow64\sc.exe' config spooler start= auto
- '%WINDIR%\syswow64\sc.exe' failure rserver3 reset= 86400 actions= restart/60000/restart/60000/restart/60000
- '%WINDIR%\syswow64\sc.exe' config rserver3 start= auto
- '%WINDIR%\syswow64\rundll32.exe' %WINDIR%\SysWOW64\rserver30\wsock32.dll,ntskd noreboot
- '%WINDIR%\syswow64\msiexec.exe' /i rserv34ru_workstation\rserv34ru.msi /qn /norestart
- '%WINDIR%\syswow64\reg.exe' import rserv34ru_workstation\add_workstation.reg
- '%WINDIR%\syswow64\sc.exe' failure spooler reset= 86400 actions= restart/60000/restart/60000/restart/60000
- '%WINDIR%\syswow64\net1.exe' start rserver3
