Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\Software\Classes\AOMEI Backupper Backup File\shell\open\command] '' = '%TEMP%\7ZipSfx.000\Backupper.exe -loadImage "%1"'
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\amwrtdrv] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\amwrtdrv] 'ImagePath' = '<SYSTEM32>\amwrtdrv.sys'
Создает следующие сервисы
- 'amwrtdrv' <SYSTEM32>\amwrtdrv.sys
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\7zipsfx.000\2gpt_bcd
- %TEMP%\7zipsfx.000\qtgui4.dll
- %TEMP%\7zipsfx.000\qtcore4.dll
- %TEMP%\7zipsfx.000\phonon4.dll
- %TEMP%\7zipsfx.000\peloaddrv.exe
- %TEMP%\7zipsfx.000\nthelp.dll
- %TEMP%\7zipsfx.000\msvcr90.dll
- %TEMP%\7zipsfx.000\msvcr80.dll
- %TEMP%\7zipsfx.000\msvcp90.dll
- %TEMP%\7zipsfx.000\msvcp80.dll
- %TEMP%\7zipsfx.000\msvcm90.dll
- %TEMP%\7zipsfx.000\msvcm80.dll
- %TEMP%\7zipsfx.000\mfcm80u.dll
- %TEMP%\7zipsfx.000\mfcm80.dll
- %TEMP%\7zipsfx.000\mfc80u.dll
- %TEMP%\7zipsfx.000\mfc80.dll
- %TEMP%\7zipsfx.000\log4cplusu.dll
- %TEMP%\7zipsfx.000\libssl-1_1-x64.dll
- %TEMP%\7zipsfx.000\qtnetwork4.dll
- %TEMP%\7zipsfx.000\qtxml4.dll
- %ALLUSERSPROFILE%\aomeibr\brfunction.ini
- %TEMP%\7zipsfx.000\sqlite3.dll
- %TEMP%\7zipsfx.000\log\reg.log
- %ALLUSERSPROFILE%\aomeibr\backuprecovery.ini
- %ALLUSERSPROFILE%\aomeibr\windows\ab_function.dat
- %ALLUSERSPROFILE%\aomeibr\cb\db\amct.db
- %ALLUSERSPROFILE%\aomeibr\cb\db\amct.db-journal
- %ALLUSERSPROFILE%\aomeibr\cb\db\amcbdb.db
- %ALLUSERSPROFILE%\aomeibr\cb\db\amcbdb.db-journal
- %ALLUSERSPROFILE%\aomeibr\tasks2.2.xml
- %ALLUSERSPROFILE%\aomeibr\comn.ini
- %TEMP%\7zipsfx.000\log\backupper0.txt
- %TEMP%\7zipsfx.000\other.ini
- %TEMP%\7zipsfx.000\color.xml
- %TEMP%\7zipsfx.000\vcomp.dll
- %TEMP%\7zipsfx.000\usbdetect.dll
- %TEMP%\7zipsfx.000\uilogic.dll
- %TEMP%\7zipsfx.000\sync.dll
- %TEMP%\7zipsfx.000\ssleay32.dll
- %TEMP%\7zipsfx.000\libeay32.dll
- %TEMP%\7zipsfx.000\qtwebkit4.dll
- %TEMP%\7zipsfx.000\libcurl.dll
- %TEMP%\7zipsfx.000\brntfs.dll
- %TEMP%\7zipsfx.000\brfat.dll
- %TEMP%\7zipsfx.000\backupper.exe
- %TEMP%\7zipsfx.000\backup.dll
- %TEMP%\7zipsfx.000\awssns.dll
- %TEMP%\7zipsfx.000\amnet.dll
- %TEMP%\7zipsfx.000\ammcauth.dll
- %TEMP%\7zipsfx.000\amcore.dll
- %TEMP%\7zipsfx.000\version.ini
- %TEMP%\7zipsfx.000\microsoft.vc90.crt.manifest
- %TEMP%\7zipsfx.000\microsoft.vc80.openmp.manifest
- %TEMP%\7zipsfx.000\microsoft.vc80.mfc.manifest
- %TEMP%\7zipsfx.000\microsoft.vc80.crt.manifest
- %TEMP%\7zipsfx.000\lang\en.txt
- %TEMP%\7zipsfx.000\dev.dat
- %TEMP%\7zipsfx.000\config.dat
- %TEMP%\7zipsfx.000\cfg.ini
- %TEMP%\7zipsfx.000\2mbr_bcd
- %TEMP%\7zipsfx.000\brlog.dll
- %TEMP%\7zipsfx.000\brvol.dll
- %TEMP%\7zipsfx.000\libamct.dll
- %TEMP%\7zipsfx.000\clone.dll
- %TEMP%\7zipsfx.000\libamcbdb.dll
- %TEMP%\7zipsfx.000\libamcbconsole.dll
- %TEMP%\7zipsfx.000\ldm.dll
- %TEMP%\7zipsfx.000\imgfile.dll
- %TEMP%\7zipsfx.000\gptbcd.dll
- %TEMP%\7zipsfx.000\funclogic.dll
- %TEMP%\7zipsfx.000\flbackup.dll
- %TEMP%\7zipsfx.000\filedialog.dll
- %TEMP%\7zipsfx.000\exfatstd.dll
- %TEMP%\7zipsfx.000\erasedisk.exe
- %TEMP%\7zipsfx.000\enumfolder.dll
- %TEMP%\7zipsfx.000\encrypt.dll
- %TEMP%\7zipsfx.000\diskmgr.dll
- %TEMP%\7zipsfx.000\devicemgr.dll
- %TEMP%\7zipsfx.000\device.dll
- %TEMP%\7zipsfx.000\compress.dll
- %TEMP%\7zipsfx.000\comn.dll
- %TEMP%\7zipsfx.000\libcrypto-1_1-x64.dll
- %ALLUSERSPROFILE%\aomeibr\daytime.ini
Удаляет следующие файлы
- %ALLUSERSPROFILE%\aomeibr\cb\db\amcbdb.db-journal
- %ALLUSERSPROFILE%\aomeibr\cb\db\amct.db-journal
Подменяет следующие файлы
- %ALLUSERSPROFILE%\aomeibr\cb\db\amcbdb.db-journal
- %ALLUSERSPROFILE%\aomeibr\cb\db\amct.db-journal
Сетевая активность
Подключается к
- 'localhost':49174
- 'localhost':49176
- 'localhost':49178
- 'localhost':49180
TCP
Другие
- 'localhost':49174
- 'localhost':49176
- 'localhost':49177
- 'localhost':49178
- 'localhost':49180
UDP
- DNS ASK go#####analytics.com
- DNS ASK ao###tech.com
- DNS ASK ac#####.aomeitech.com
- DNS ASK google.com
Другое
Создает и запускает на исполнение
- '%TEMP%\7zipsfx.000\backupper.exe'
- '<SYSTEM32>\wbem\wmic.exe' cpu get processorid' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\wbem\wmic.exe' cpu get processorid
