Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\Software\Classes\.anydesk\shell\open\command] '' = '"%ALLUSERSPROFILE%\AnyDesk\AnyDesk.exe" --play "%1"'
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\helppane.lnk
- %APPDATA%\microsoft\windows\start menu\programs\startup\igfhcuiservice.exe
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\AnyDesk] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\AnyDesk] 'ImagePath' = '"%ALLUSERSPROFILE%\AnyDesk\AnyDesk.exe" --service'
Создает следующие сервисы
- 'AnyDesk' "%ALLUSERSPROFILE%\AnyDesk\AnyDesk.exe" --service
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'OLLYDBG', WindowName: ''
- ClassName: 'GBDYLLO', WindowName: ''
- ClassName: 'pediy06', WindowName: ''
- ClassName: 'RegmonClass', WindowName: ''
- ClassName: 'FilemonClass', WindowName: ''
- ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
Изменения в файловой системе
Создает следующие файлы
- %ALLUSERSPROFILE%\helppane.exe
- %ALLUSERSPROFILE%\runassystem.exe
- %ALLUSERSPROFILE%\anydesk.exe
- %ALLUSERSPROFILE%\windows_update.cmd
- %ALLUSERSPROFILE%\libeay32.dll
- %ALLUSERSPROFILE%\ssleay32.dll
- %APPDATA%\anydesk\ad.trace
- %ALLUSERSPROFILE%\anydesk\anydesk.exe
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\startup\anydesk.lnk
- %ALLUSERSPROFILE%\anydesk\system.conf
Удаляет следующие файлы
- %ALLUSERSPROFILE%\runassystem.exe
Другое
Ищет следующие окна
- ClassName: 'Registry Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
- ClassName: '' WindowName: 'Configuração do(a) Avast Free Antivirus'
- ClassName: '' WindowName: 'Avast Free Antivirus Setup'
- ClassName: '' WindowName: 'Malwarebytes Setup'
- ClassName: '' WindowName: 'System Configuration'
- ClassName: '' WindowName: 'Configuração do Sistema'
- ClassName: '' WindowName: 'ProgramData'
- ClassName: '' WindowName: 'Start Menu'
- ClassName: '' WindowName: 'Startup'
- ClassName: '' WindowName: 'Avira Setup'
- ClassName: '' WindowName: 'Task Manager'
- ClassName: '' WindowName: 'Windows Security'
- ClassName: '' WindowName: 'Segurança do Windows'
- ClassName: '' WindowName: 'HelpPane'
- ClassName: '' WindowName: 'Fatal Program Failure (AnyDesk)'
- ClassName: '' WindowName: 'AnyDesk'
- ClassName: 'Process Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
- ClassName: 'File Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
- ClassName: '18467-41' WindowName: ''
- ClassName: '' WindowName: 'Gerenciador de Tarefas'
- ClassName: '' WindowName: 'Instalação Avira'
Создает и запускает на исполнение
- '%ALLUSERSPROFILE%\anydesk.exe' --get-id
- '%ALLUSERSPROFILE%\anydesk\anydesk.exe' --control
- '%ALLUSERSPROFILE%\anydesk\anydesk.exe' --service
- '%ALLUSERSPROFILE%\helppane.exe'
- '%APPDATA%\microsoft\windows\start menu\programs\startup\igfhcuiservice.exe'
- '%ALLUSERSPROFILE%\runassystem.exe' "%ALLUSERSPROFILE%\HelpPane.exe"
- '%ALLUSERSPROFILE%\anydesk.exe' --set-password
- '%ALLUSERSPROFILE%\anydesk.exe' --install %ALLUSERSPROFILE%\AnyDesk --start-with-win --silent
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionProcess "%ALLUSERSPROFILE%\HelpPane.exe
- '%WINDIR%\syswow64\cmd.exe' /c powershell -Command Add-MpPreference -ExclusionPath "%LOCALAPPDATA%\Temp' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C "%ALLUSERSPROFILE%\Windows_Update.cmd"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c powershell -Command Add-MpPreference -ExclusionPath "C:\Users\SYSTEM\AppData\Local\Temp' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c powershell -Command Add-MpPreference -ExclusionPath "C:\Users\SYSTEM\AppData\Roaming\Microsoft\Windows\Start` Menu\Programs\Startup' (со скрытым окном)
- '%ALLUSERSPROFILE%\runassystem.exe' "%ALLUSERSPROFILE%\HelpPane.exe"' (со скрытым окном)
- '%APPDATA%\microsoft\windows\start menu\programs\startup\igfhcuiservice.exe' ' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c powershell -Command Add-MpPreference -ExclusionProcess "%ALLUSERSPROFILE%\HelpPane.exe' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c powershell -Command Add-MpPreference -ExclusionPath "%ALLUSERSPROFILE%' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c powershell -Command Add-MpPreference -ExclusionPath "%APPDATA%\Microsoft\Windows\Start` Menu\Programs\Startup' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c powershell -Command Add-MpPreference -ExclusionPath "%APPDATA%\Microsoft\Windows\Start` Menu\Programs\Startup
- '%WINDIR%\syswow64\cmd.exe' /c powershell -Command Add-MpPreference -ExclusionPath "%LOCALAPPDATA%\Temp
- '%WINDIR%\syswow64\cmd.exe' /c powershell -Command Add-MpPreference -ExclusionPath "%ALLUSERSPROFILE%
- '%WINDIR%\syswow64\cmd.exe' /c powershell -Command Add-MpPreference -ExclusionProcess "%ALLUSERSPROFILE%\HelpPane.exe
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath "%APPDATA%\Microsoft\Windows\Start` Menu\Programs\Startup
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionProcess "%ALLUSERSPROFILE%\HelpPane.exe
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath "%ALLUSERSPROFILE%
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath "%LOCALAPPDATA%\Temp
- '%WINDIR%\syswow64\cmd.exe' /C "%ALLUSERSPROFILE%\Windows_Update.cmd"
- '%WINDIR%\syswow64\cmd.exe' /c %ALLUSERSPROFILE%\AnyDesk.exe --install %ALLUSERSPROFILE%\AnyDesk --start-with-win --silent
- '%WINDIR%\syswow64\cmd.exe' /c powershell -Command Add-MpPreference -ExclusionPath "C:\Users\SYSTEM\AppData\Roaming\Microsoft\Windows\Start` Menu\Programs\Startup
- '%WINDIR%\syswow64\cmd.exe' /c powershell -Command Add-MpPreference -ExclusionPath "C:\Users\SYSTEM\AppData\Local\Temp
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath "C:\Users\SYSTEM\AppData\Roaming\Microsoft\Windows\Start` Menu\Programs\Startup
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath "C:\Users\SYSTEM\AppData\Local\Temp
- '%WINDIR%\syswow64\cmd.exe' /c echo J9kzQ2Y0qO
- '%WINDIR%\syswow64\cmd.exe' /c %ALLUSERSPROFILE%\AnyDesk.exe --get-id
