Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\RServer3] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\RServer3] 'ImagePath' = '"%WINDIR%\SysWOW64\rserver30\RServer3.exe" /service'
- [<HKLM>\System\CurrentControlSet\Services\mirrorv3] 'Start' = '00000001'
- [<HKLM>\System\CurrentControlSet\Services\mirrorv3] 'ImagePath' = 'system32\DRIVERS\rminiv3.sys'
- [<HKLM>\System\CurrentControlSet\Services\raddrvv3] 'Start' = '00000001'
- [<HKLM>\System\CurrentControlSet\Services\raddrvv3] 'ImagePath' = '%WINDIR%\SysWOW64\rserver30\raddrvv3.sys'
Создает следующие сервисы
- 'RServer3' "%WINDIR%\SysWOW64\rserver30\RServer3.exe" /service
- 'mirrorv3' system32\DRIVERS\rminiv3.sys
- 'raddrvv3' %WINDIR%\SysWOW64\rserver30\raddrvv3.sys
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="Radmin Server 3" dir=in action=allow program="%WINDIR%\SysWOW64\rserver30\rserver3.exe" enable=yes profile=any
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\rserver30\famitrfc.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\rarsfx0\desktop.ini
- %WINDIR%\syswow64\rserver30\mirrorv3.cat
- %WINDIR%\syswow64\rserver30\raddrvv3.sys
- %WINDIR%\syswow64\rserver30\eula.txt
- %WINDIR%\syswow64\rserver30\radmin30.chm
- %WINDIR%\syswow64\rserver30\radmin30ru.chm
- %WINDIR%\syswow64\rserver30\1049.lng_rad
- %WINDIR%\syswow64\rserver30\nts64helper.dll
- %WINDIR%\syswow64\rserver30\wsock32.dll
- %APPDATA%\microsoft\installer\{1b704fd1-c00f-482f-8997-82f2f19e10e7}\arpproducticon.exe
- %APPDATA%\microsoft\installer\{1b704fd1-c00f-482f-8997-82f2f19e10e7}\newshortcut3_6bf1780b36ea432b9451dd84ff5c9d52.exe
- %APPDATA%\microsoft\installer\{1b704fd1-c00f-482f-8997-82f2f19e10e7}\newshortcut4_6bf1780b36ea432b9451dd84ff5c9d52.exe
- %APPDATA%\microsoft\installer\{1b704fd1-c00f-482f-8997-82f2f19e10e7}\z_menu_srvcfg_6bf1780b36ea432b9451dd84ff5c9d52.exe
- %APPDATA%\microsoft\windows\start menu\programs\radmin server 3\настройки radmin server.lnk
- %APPDATA%\microsoft\windows\start menu\programs\radmin server 3\запустить radmin server.lnk
- %TEMP%\is-tokrn.tmp\eula_en_us.rtf
- %APPDATA%\microsoft\windows\start menu\programs\radmin server 3\остановить radmin server.lnk
- %APPDATA%\microsoft\windows\start menu\programs\radmin server 3\удалить.lnk
- %TEMP%\{32f64222-bbeb-76dc-1b01-d6168191de23}\seteb96.tmp
- %TEMP%\{32f64222-bbeb-76dc-1b01-d6168191de23}\setec81.tmp
- %TEMP%\{32f64222-bbeb-76dc-1b01-d6168191de23}\seted6c.tmp
- %TEMP%\{32f64222-bbeb-76dc-1b01-d6168191de23}\setee57.tmp
- <SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\oem2.cat
- %WINDIR%\temp\udd3b5a.tmp
- %WINDIR%\temp\udd8ed7.tmp
- %TEMP%\is-u6qol.tmp\radmin_vpn_1.2.4457.1.tmp
- %TEMP%\is-tokrn.tmp\_isetup\_setup64.tmp
- %TEMP%\is-tokrn.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-tokrn.tmp\rvis_install_dll.dll
- %WINDIR%\syswow64\rserver30\mirrorv3.inf
- %APPDATA%\microsoft\windows\start menu\programs\radmin server 3\справка.lnk
- %WINDIR%\syswow64\rserver30\mirrorv3.dll
- %WINDIR%\syswow64\rserver30\firewallinstallhelper.dll
- %TEMP%\rarsfx0\install.cmd
- %TEMP%\rarsfx0\radmin 352 u 60005.reg
- %TEMP%\rarsfx0\radmin_server_3.5.2.1_ru.msi
- %TEMP%\rarsfx0\radmin_vpn_1.2.4457.1.exe
- %TEMP%\rarsfx0\sfx.txt
- %TEMP%\rarsfx0\перепаковать.cmd
- %TEMP%\{1b704fd1-c00f-482f-8997-82f2f19e10e7}\rsetup.exe
- %TEMP%\{1b704fd1-c00f-482f-8997-82f2f19e10e7}\rsetup64.exe
- %TEMP%\{1b704fd1-c00f-482f-8997-82f2f19e10e7}\firewallinstallhelper.dll
- %WINDIR%\syswow64\rserver30\winlpcdl.dll
- %WINDIR%\syswow64\rserver30\winlpcdl2.dll
- %WINDIR%\syswow64\rserver30\famitrfc.exe
- %WINDIR%\syswow64\rserver30\famitrf2.exe
- %WINDIR%\syswow64\rserver30\rserver3.exe
- %WINDIR%\syswow64\rserver30\rsetup64.exe
- %WINDIR%\syswow64\rserver30\r_sui.dll
- %WINDIR%\syswow64\rserver30\rcursor.dll
- %WINDIR%\syswow64\rserver30\rsl.exe
- %WINDIR%\syswow64\rserver30\rchatx.dll
- %WINDIR%\syswow64\rserver30\chatlogs\info.txt
- %WINDIR%\syswow64\rserver30\rschatx.dll
- %WINDIR%\syswow64\rserver30\chatlpcx.dll
- %WINDIR%\syswow64\rserver30\raudiox.dll
- %WINDIR%\syswow64\rserver30\voicex.dll
- %WINDIR%\syswow64\rserver30\rsaudiox.dll
- %WINDIR%\syswow64\rserver30\vcintcx.dll
- %WINDIR%\syswow64\rserver30\vcintsx.dll
- %WINDIR%\syswow64\rserver30\fam64helper.exe
- %WINDIR%\syswow64\rserver30\rminiv3.sys
- %TEMP%\is-tokrn.tmp\is-pt1gr.tmp
Присваивает атрибут 'скрытый' для следующих файлов
- %TEMP%\rarsfx0\desktop.ini
- <SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\oem2.cat
Удаляет следующие файлы
- %TEMP%\{32f64222-bbeb-76dc-1b01-d6168191de23}\mirrorv3.cat
- %TEMP%\{32f64222-bbeb-76dc-1b01-d6168191de23}\mirrorv3.dll
- %TEMP%\{32f64222-bbeb-76dc-1b01-d6168191de23}\mirrorv3.inf
- %TEMP%\{32f64222-bbeb-76dc-1b01-d6168191de23}\rminiv3.sys
- %WINDIR%\temp\udd3b5a.tmp
- %WINDIR%\temp\udd8ed7.tmp
- %TEMP%\{1b704fd1-c00f-482f-8997-82f2f19e10e7}\firewallinstallhelper.dll
- %TEMP%\{1b704fd1-c00f-482f-8997-82f2f19e10e7}\rsetup.exe
- %TEMP%\{1b704fd1-c00f-482f-8997-82f2f19e10e7}\rsetup64.exe
Перемещает следующие файлы
- %TEMP%\{32f64222-bbeb-76dc-1b01-d6168191de23}\seteb96.tmp в %TEMP%\{32f64222-bbeb-76dc-1b01-d6168191de23}\rminiv3.sys
- %TEMP%\{32f64222-bbeb-76dc-1b01-d6168191de23}\setec81.tmp в %TEMP%\{32f64222-bbeb-76dc-1b01-d6168191de23}\mirrorv3.cat
- %TEMP%\{32f64222-bbeb-76dc-1b01-d6168191de23}\seted6c.tmp в %TEMP%\{32f64222-bbeb-76dc-1b01-d6168191de23}\mirrorv3.dll
- %TEMP%\{32f64222-bbeb-76dc-1b01-d6168191de23}\setee57.tmp в %TEMP%\{32f64222-bbeb-76dc-1b01-d6168191de23}\mirrorv3.inf
- %TEMP%\is-tokrn.tmp\is-pt1gr.tmp в %TEMP%\is-tokrn.tmp\radminvpn_1.2.4457.1.msi
Изменяет следующие файлы
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\{1b704fd1-c00f-482f-8997-82f2f19e10e7}\rsetup64.exe' /stop
- '%WINDIR%\syswow64\rserver30\rsetup64.exe' /intsetup
- '%WINDIR%\syswow64\rserver30\rsetup64.exe' /start
- '%WINDIR%\syswow64\rserver30\rserver3.exe' /service
- '%WINDIR%\syswow64\rserver30\rserver3.exe' /stop
- '%WINDIR%\syswow64\rserver30\famitrfc.exe'
- '%WINDIR%\syswow64\rserver30\famitrf2.exe'
- '%WINDIR%\syswow64\rserver30\rserver3.exe' /start
- '%TEMP%\rarsfx0\radmin_vpn_1.2.4457.1.exe' /verysilent
- '%TEMP%\is-u6qol.tmp\radmin_vpn_1.2.4457.1.tmp' /SL5="$40252,20903394,189952,%TEMP%\RarSFX0\Radmin_VPN_1.2.4457.1.exe" /verysilent
- '%TEMP%\{1b704fd1-c00f-482f-8997-82f2f19e10e7}\rsetup64.exe' /stop' (со скрытым окном)
- '%WINDIR%\syswow64\rserver30\rsetup64.exe' /intsetup' (со скрытым окном)
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="Radmin Server 3" dir=in action=allow program="%WINDIR%\SysWOW64\rserver30\rserver3.exe" enable=yes profile=any' (со скрытым окном)
- '%WINDIR%\syswow64\rserver30\rsetup64.exe' /start' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\RarSFX0\install.cmd" "
- '%WINDIR%\syswow64\msiexec.exe' /i "%TEMP%\RarSFX0\Radmin_Server_3.5.2.1_RU.msi" /qn
- '%WINDIR%\syswow64\rundll32.exe' %WINDIR%\SysWOW64\rserver30\wsock32.dll,ntskd noreboot
- '%WINDIR%\syswow64\reg.exe' import "radmin 352 u 60005.reg"
