Техническая информация
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\net.exe' stop tacticalrpc
- '%WINDIR%\syswow64\net.exe' stop tacticalagent
- '%WINDIR%\syswow64\net.exe' stop tacticalrmm
- '%WINDIR%\syswow64\taskkill.exe' /F /IM tacticalrmm.exe
Изменения в файловой системе
Создает следующие файлы
- %ALLUSERSPROFILE%\tacticalrmm\tacticalagent-v2.4.5-windows-amd64.exe
- %TEMP%\is-e7fm1.tmp\tacticalagent-v2.4.5-windows-amd64.tmp
- %TEMP%\setup log 2023-04-12 #001.txt
- %TEMP%\is-s12eg.tmp\_isetup\_setup64.tmp
- %ProgramFiles%\tacticalagent\is-rq5e6.tmp
- %ProgramFiles%\tacticalagent\is-l8lbq.tmp
- %ProgramFiles%\tacticalagent\unins000.dat
Удаляет следующие файлы
- %TEMP%\is-s12eg.tmp\_isetup\_setup64.tmp
- %TEMP%\is-e7fm1.tmp\tacticalagent-v2.4.5-windows-amd64.tmp
Перемещает следующие файлы
- %ProgramFiles%\tacticalagent\is-rq5e6.tmp в %ProgramFiles%\tacticalagent\unins000.exe
- %ProgramFiles%\tacticalagent\is-l8lbq.tmp в %ProgramFiles%\tacticalagent\tacticalrmm.exe
Сетевая активность
Подключается к
- 'ag####.tacticalrmm.com':443
- 'ap#.##tmaking.it':443
- 'microsoft.com':80
TCP
Запросы HTTP GET
- http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt
Другие
- 'ag####.tacticalrmm.com':443
- 'ap#.##tmaking.it':443
UDP
- DNS ASK ag####.tacticalrmm.com
- DNS ASK ap#.##tmaking.it
- DNS ASK microsoft.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%ALLUSERSPROFILE%\tacticalrmm\tacticalagent-v2.4.5-windows-amd64.exe' /VERYSILENT /SUPPRESSMSGBOXES
- '%TEMP%\is-e7fm1.tmp\tacticalagent-v2.4.5-windows-amd64.tmp' /SL5="$C0232,3569927,825344,%ALLUSERSPROFILE%\TacticalRMM\tacticalagent-v2.4.5-windows-amd64.exe" /VERYSILENT /SUPPRESSMSGBOXES
- '%ProgramFiles%\tacticalagent\tacticalrmm.exe' -m installsvc
- '%ProgramFiles%\tacticalagent\tacticalrmm.exe' -m install --api https://api.netmaking.it --client-id 27 --site-id 65 --agent-type workstation --auth 2fc904c177a0523e59de1d9e6694df4abb3c6f31c87d2eaac996a055d9689e5d
- '%WINDIR%\syswow64\cmd.exe' /c ping 127.0.0.1 -n 2 && net stop tacticalrpc' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c net stop tacticalagent' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ping 127.0.0.1 -n 2 && net stop tacticalrmm' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /F /IM tacticalrmm.exe' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c sc delete tacticalagent' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c sc delete tacticalrpc' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c tacticalrmm.exe -m installsvc' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c net start tacticalrmm' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ping 127.0.0.1 -n 2 && net stop tacticalrpc
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 2
- '%WINDIR%\syswow64\net1.exe' stop tacticalrpc
- '%WINDIR%\syswow64\cmd.exe' /c net stop tacticalagent
- '%WINDIR%\syswow64\net1.exe' stop tacticalagent
- '%WINDIR%\syswow64\cmd.exe' /c ping 127.0.0.1 -n 2 && net stop tacticalrmm
- '%WINDIR%\syswow64\net1.exe' stop tacticalrmm
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /F /IM tacticalrmm.exe
- '%WINDIR%\syswow64\cmd.exe' /c sc delete tacticalagent
- '%WINDIR%\syswow64\sc.exe' delete tacticalagent
- '%WINDIR%\syswow64\cmd.exe' /c sc delete tacticalrpc
- '%WINDIR%\syswow64\sc.exe' delete tacticalrpc
- '%WINDIR%\syswow64\cmd.exe' /c tacticalrmm.exe -m installsvc
- '%WINDIR%\syswow64\cmd.exe' /c net start tacticalrmm
- '%WINDIR%\syswow64\net.exe' start tacticalrmm
- '%WINDIR%\syswow64\net1.exe' start tacticalrmm
