Техническая информация
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /im AdskLicensingAgent.exe /f
- '<SYSTEM32>\taskkill.exe' /f /im AdAppMgrSvc.exe
- '<SYSTEM32>\taskkill.exe' /f /im AutodeskDesktopApp.exe
- '<SYSTEM32>\taskkill.exe' /f /im AdskIdentityManager.exe
- '<SYSTEM32>\taskkill.exe' /f /im "Autodesk Access UI Host.exe"
- '<SYSTEM32>\taskkill.exe' /f /im "AdskAccessCore.exe"
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\adsk-nlm\nlm.mst
- %WINDIR%\temp\tarecce.tmp
- %WINDIR%\temp\cabeccd.tmp
- %WINDIR%\temp\tard73a.tmp
- %WINDIR%\temp\cabd729.tmp
- %WINDIR%\temp\tard6da.tmp
- %WINDIR%\temp\cabd6d9.tmp
- %WINDIR%\temp\tarc07b.tmp
- %WINDIR%\temp\cabc07a.tmp
- %WINDIR%\temp\taraac7.tmp
- %WINDIR%\temp\cabaac6.tmp
- %WINDIR%\temp\tar94c5.tmp
- %WINDIR%\temp\cabed2d.tmp
- %WINDIR%\temp\cab94b5.tmp
- %WINDIR%\temp\cabdb9.tmp
- %CommonProgramFiles(x86)%\autodesk shared\adsklicensing\current\adsklicensingagent\version.dll
- %TEMP%\adsk-nlm\version.dll
- %TEMP%\adsk-nlm\adskflex.exe
- %TEMP%\adsk-nlm\version12.dll
- %TEMP%\adsk-nlm\licenses.lic
- %TEMP%\adsk-nlm\nlm11.18.0.0_ipv4_ipv6_win64.msi
- %TEMP%\adsk-nlm\delnowmic.ps1
- %TEMP%\adsk-nlm\unnamed.json
- %TEMP%\adsk-nlm\createlic.cmd
- %TEMP%\adsk-nlm\createlic.ps1
- %WINDIR%\temp\tardba.tmp
- %WINDIR%\temp\tared2e.tmp
Удаляет следующие файлы
- %WINDIR%\temp\cabdb9.tmp
- %WINDIR%\temp\tardba.tmp
- %WINDIR%\temp\cab94b5.tmp
- %WINDIR%\temp\tar94c5.tmp
- %WINDIR%\temp\cabaac6.tmp
- %WINDIR%\temp\taraac7.tmp
- %WINDIR%\temp\cabc07a.tmp
- %WINDIR%\temp\tarc07b.tmp
- %WINDIR%\temp\cabd6d9.tmp
- %WINDIR%\temp\tard6da.tmp
- %WINDIR%\temp\cabd729.tmp
- %WINDIR%\temp\tard73a.tmp
- %WINDIR%\temp\cabeccd.tmp
- %WINDIR%\temp\tarecce.tmp
- %WINDIR%\temp\cabed2d.tmp
- %WINDIR%\temp\tared2e.tmp
Сетевая активность
Подключается к
- 'microsoft.com':80
TCP
Запросы HTTP GET
- http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt
- http://www.microsoft.com/pki/certs/MicRooCerAut2011_2011_03_22.crt
UDP
- DNS ASK microsoft.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '<SYSTEM32>\sc.exe' stop AdskLicensingService' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c del /q /f "%LOCALAPPDATA%\Autodesk\Genuine Autodesk Service\id.dat"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c if exist "<SYSTEM32>\wbem\WMIC.exe" ( wmic product where name="Autodesk Single Sign On Component" call uninstall /nointeractive )' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c "%ProgramFiles(x86)%\Autodesk\Autodesk Desktop App\removeAdAppMgr.exe" --mode unattended' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c "%ProgramFiles%\Autodesk\AdskIdentityManager\uninstall.exe" --mode unattended' (со скрытым окном)
- '<SYSTEM32>\sc.exe' config "Autodesk Access Service Host" start= demand' (со скрытым окном)
- '<SYSTEM32>\sc.exe' stop "Autodesk Access Service Host"' (со скрытым окном)
- '<SYSTEM32>\reg.exe' delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "Autodesk Access" /f' (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /f /im "AdskAccessCore.exe"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c ren "%ALLUSERSPROFILE%\Autodesk\Adlm\ProductInformation.pit" "ProductInformation.bak"' (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /f /im "Autodesk Access UI Host.exe"' (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /f /im AutodeskDesktopApp.exe' (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /f /im AdAppMgrSvc.exe' (со скрытым окном)
- '<SYSTEM32>\sc.exe' start AdskLicensingService' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c if exist "%CommonProgramFiles(x86)%\Autodesk Shared\AdskLicensing\12.1.0.7121\AdskLicensingAgent\AdskLicensingAgent.exe" ( echo F | xcopy /hkry "%TEMP%\Adsk-NLM\version12.dll" "%CommonProgra...' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c if exist "%CommonProgramFiles(x86)%\Autodesk Shared\AdskLicensing\12.0.1.5\AdskLicensingAgent\AdskLicensingAgent.exe" ( echo F | xcopy /hkry "%TEMP%\Adsk-NLM\version12.dll" "%CommonProgramFi...' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c if exist "%CommonProgramFiles(x86)%\Autodesk Shared\AdskLicensing\12.0.0.6529\AdskLicensingAgent\AdskLicensingAgent.exe" ( echo F | xcopy /hkry "%TEMP%\Adsk-NLM\version12.dll" "%CommonProgra...' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c echo D | xcopy /hkry "%TEMP%\Adsk-NLM\version.dll" "%CommonProgramFiles(x86)%\Autodesk Shared\AdskLicensing\Current\AdskLicensingAgent"' (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /im AdskLicensingAgent.exe /f' (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /f /im AdskIdentityManager.exe' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c if exist "<SYSTEM32>\wbem\WMIC.exe" ( wmic product where name="Autodesk Genuine Service" call uninstall /nointeractive )' (со скрытым окном)
Перезапускает анализируемый образец
Запускает на исполнение
- '<SYSTEM32>\sc.exe' stop AdskLicensingService
- '<SYSTEM32>\cmd.exe' /c ren "%ALLUSERSPROFILE%\Autodesk\Adlm\ProductInformation.pit" "ProductInformation.bak"
- '<SYSTEM32>\cmd.exe' /c del /q /f "%LOCALAPPDATA%\Autodesk\Genuine Autodesk Service\id.dat"
- '<SYSTEM32>\wbem\wmic.exe' product where name="Autodesk Single Sign On Component" call uninstall /nointeractive
- '<SYSTEM32>\cmd.exe' /c if exist "<SYSTEM32>\wbem\WMIC.exe" ( wmic product where name="Autodesk Single Sign On Component" call uninstall /nointeractive )
- '<SYSTEM32>\cmd.exe' /c "%ProgramFiles(x86)%\Autodesk\Autodesk Desktop App\removeAdAppMgr.exe" --mode unattended
- '<SYSTEM32>\cmd.exe' /c "%ProgramFiles%\Autodesk\AdskIdentityManager\uninstall.exe" --mode unattended
- '<SYSTEM32>\sc.exe' config "Autodesk Access Service Host" start= demand
- '<SYSTEM32>\cmd.exe' /c if exist "<SYSTEM32>\wbem\WMIC.exe" ( wmic product where name="Autodesk Genuine Service" call uninstall /nointeractive )
- '<SYSTEM32>\sc.exe' stop "Autodesk Access Service Host"
- '<SYSTEM32>\sc.exe' start AdskLicensingService
- '<SYSTEM32>\cmd.exe' /c if exist "%CommonProgramFiles(x86)%\Autodesk Shared\AdskLicensing\12.1.0.7121\AdskLicensingAgent\AdskLicensingAgent.exe" ( echo F | xcopy /hkry "%TEMP%\Adsk-NLM\version12.dll" "%CommonProgra...
- '<SYSTEM32>\cmd.exe' /c if exist "%CommonProgramFiles(x86)%\Autodesk Shared\AdskLicensing\12.0.1.5\AdskLicensingAgent\AdskLicensingAgent.exe" ( echo F | xcopy /hkry "%TEMP%\Adsk-NLM\version12.dll" "%CommonProgramFi...
- '<SYSTEM32>\cmd.exe' /c if exist "%CommonProgramFiles(x86)%\Autodesk Shared\AdskLicensing\12.0.0.6529\AdskLicensingAgent\AdskLicensingAgent.exe" ( echo F | xcopy /hkry "%TEMP%\Adsk-NLM\version12.dll" "%CommonProgra...
- '<SYSTEM32>\xcopy.exe' /hkry "%TEMP%\Adsk-NLM\version.dll" "%CommonProgramFiles(x86)%\Autodesk Shared\AdskLicensing\Current\AdskLicensingAgent"
- '<SYSTEM32>\cmd.exe' /S /D /c" echo D "
- '<SYSTEM32>\cmd.exe' /c echo D | xcopy /hkry "%TEMP%\Adsk-NLM\version.dll" "%CommonProgramFiles(x86)%\Autodesk Shared\AdskLicensing\Current\AdskLicensingAgent"
- '<SYSTEM32>\reg.exe' delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "Autodesk Access" /f
- '<SYSTEM32>\wbem\wmic.exe' product where name="Autodesk Genuine Service" call uninstall /nointeractive
