Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\TVNC] 'Start' = '00000002'
- [HKLM\System\CurrentControlSet\Services\TVNC] 'ImagePath' = 'C:\Tools\TVNC\TVNC.exe -service'
- [HKLM\System\CurrentControlSet\Services\SEVC] 'Start' = '00000002'
- [HKLM\System\CurrentControlSet\Services\SEVC] 'ImagePath' = 'C:\Tools\SEVC\SEVC.exe /service'
- [HKLM\System\CurrentControlSet\Services\Neo_VPN125] 'ImagePath' = 'system32\DRIVERS\Neo_0126.sys'
Создает следующие сервисы
- 'TVNC' C:\Tools\TVNC\TVNC.exe -service
- 'SEVC' C:\Tools\SEVC\SEVC.exe /service
- 'Neo_VPN125' system32\DRIVERS\Neo_0126.sys
- 'tunnel' system32\DRIVERS\tunnel.sys
Изменения в файловой системе
Создает следующие файлы
- C:\__temp\sevc\client_log\client_20220627.log
- %TEMP%\{7b7eda0b-5cfa-495e-dd72-7f403d4c0732}\set6ef8.tmp
- %TEMP%\vpn_bef4\neo_0126.sys
- %TEMP%\vpn_bef4\neo_vpn125.inf
- %TEMP%\vpn_bef4\b7091c83.dll
- %TEMP%\.unicode_cache_f4749409.dat
- nul
- C:\over.bat
- C:\__temp\tools修改.exe
- C:\__temp\tvnc\config.vnc
- C:\__temp\sevc\hamcore.se2
- C:\__temp\sevc\vpn_client.config
- C:\__temp\sevc\lang.config
- C:\__temp\sevc\backup.vpn_client.config\2022070315_vpn_client.config
- C:\__temp\sevc\backup.vpn_client.config\2022062700_vpn_client.config
- C:\__temp\tvnc\screenhooks32.dll
- C:\__temp\tvnc\tvnc.exe
- C:\__temp\sevc\sevc.exe
- C:\__temp\remote.exe
- C:\__temp\sevc\nic64.exe
- C:\__temp\sevc\nic32.exe
- C:\install.exe
- C:\__temp\sevc\com.exe
- C:\__temp\sevc\client_log\client_20220703.log
- %TEMP%\{7b7eda0b-5cfa-495e-dd72-7f403d4c0732}\set6fc3.tmp
- %WINDIR%\temp\uddaf90.tmp
Удаляет следующие файлы
- C:\install.exe
- %TEMP%\{7b7eda0b-5cfa-495e-dd72-7f403d4c0732}\neo_0126.sys
- %TEMP%\{7b7eda0b-5cfa-495e-dd72-7f403d4c0732}\neo_vpn125.inf
- %WINDIR%\temp\uddaf90.tmp
- %TEMP%\vpn_bef4\neo_vpn125.inf
- %TEMP%\vpn_bef4\neo_0126.sys
- %TEMP%\vpn_bef4\b7091c83.dll
Перемещает следующие файлы
- %TEMP%\{7b7eda0b-5cfa-495e-dd72-7f403d4c0732}\set6ef8.tmp в %TEMP%\{7b7eda0b-5cfa-495e-dd72-7f403d4c0732}\neo_vpn125.inf
- %TEMP%\{7b7eda0b-5cfa-495e-dd72-7f403d4c0732}\set6fc3.tmp в %TEMP%\{7b7eda0b-5cfa-495e-dd72-7f403d4c0732}\neo_0126.sys
Изменяет следующие файлы
Сетевая активность
UDP
- 'localhost':53614
- 'localhost':57701
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
- ClassName: 'RegEdit_RegEdit' WindowName: ''
Создает и запускает на исполнение
- 'C:\install.exe'
- '%WINDIR%\syswow64\netsh.exe' interface set interface "VPN125 - VPN Client" admin=enabled' (со скрытым окном)
- '%WINDIR%\syswow64\netsh.exe' interface set interface "VPN125 - VPN Client" admin=disabled' (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' ADD HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\{21A90AAC-A051-469A-9F6C-0A79A58FDCB3} /v InterfaceMetric /t REG_DWORD /d 9000 /F' (со скрытым окном)
- '<SYSTEM32>\netsh.exe' netsh interface ipv4 set interface interface="VPN125 - VPN Client" metric=1' (со скрытым окном)
- '<SYSTEM32>\netsh.exe' interface set interface name="Local Area Connection 2" newname="VPN125 - VPN Client"' (со скрытым окном)
- 'C:\tools\sevc\nic64.exe' instvlan VPN125' (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' ADD HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\FirewallRules /v "{96679022-D841-4dbf-A3CF-B7A000784E48}" /t REG_SZ /d "v2.10|Action=Allow|Active...' (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' ADD HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\SharedAccess\Parameters\FirewallPolicy\FirewallRules /v "{D6D3ADDA-9655-4de3-9D31-016F45EBB0F2}" /t REG_SZ /d "v2.10|Action=Allow|Active...' (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' ADD HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\SharedAccess\Parameters\FirewallPolicy\FirewallRules /v "{D6D3ADDA-9655-4de3-9D31-016F45EBB0F2}" /t REG_SZ /d "v2.10|Action=Allow|Active=TRU...' (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' ADD HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\SharedAccess\Epoch /v Epoch /t REG_DWORD /d 170 /f' (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' ADD HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\SharedAccess\Epoch /v Epoch /t REG_DWORD /d 170 /f' (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' ADD HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\SharedAccess\Parameters\FirewallPolicy\FirewallRules /v "{742AB71F-A706-4f04-B026-270CB7DD3ED1}" /t REG_SZ /d "v2.10|Action=Allow|Active...' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c REG Query HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\{21A90AAC-A051-469A-9F6C-0A79A58FDCB3} /v InterfaceMetric' (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' ADD HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\SharedAccess\Parameters\FirewallPolicy\FirewallRules /v "{742AB71F-A706-4f04-B026-270CB7DD3ED1}" /t REG_SZ /d "v2.10|Action=Allow|Active=TRU...' (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' create SEVC binPath= "C:\Tools\SEVC\SEVC.exe /service" start= auto DisplayName= SEVC"' (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' ADD HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\FirewallRules /v "{5FF2A1C7-9F9D-4dd1-A3CF-B07BF0CB7483}" /t REG_SZ /d "v2.10|Action=Allow|Active...' (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' ADD HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\SharedAccess\Parameters\FirewallPolicy\FirewallRules /v "{4917AC53-563B-4c1c-9B81-1CC0F5D14ACA}" /t REG_SZ /d "v2.10|Action=Allow|Active...' (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' ADD HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\SharedAccess\Parameters\FirewallPolicy\FirewallRules /v "{4917AC53-563B-4c1c-9B81-1CC0F5D14ACA}" /t REG_SZ /d "v2.10|Action=Allow|Active=TRU...' (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' ADD HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\SharedAccess\Epoch /v Epoch /t REG_DWORD /d 169 /f' (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' ADD HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\SharedAccess\Epoch /v Epoch /t REG_DWORD /d 169 /f' (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' ADD HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\SharedAccess\Parameters\FirewallPolicy\FirewallRules /v "{8DDB02C3-CAAE-4147-9DE7-B37955CF19AA}" /t REG_SZ /d "v2.10|Action=Allow|Active...' (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' ADD HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\SharedAccess\Parameters\FirewallPolicy\FirewallRules /v "{8DDB02C3-CAAE-4147-9DE7-B37955CF19AA}" /t REG_SZ /d "v2.10|Action=Allow|Active=TRU...' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c regedit /s "C:\Tools\TVNC\Config.vnc"' (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' description TVNC "TVNC Server"' (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' create TVNC binPath= "C:\Tools\TVNC\TVNC.exe -service" start= auto DisplayName= TVNC"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c Over.bat' (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' description SEVC "SEVC Server"' (со скрытым окном)
- 'C:\tools\sevc\com.exe' localhost /CLIENT /PASSWORD=vgaa.cn /CMD AccountConnect RA' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c Over.bat
- '%WINDIR%\syswow64\netsh.exe' interface set interface "VPN125 - VPN Client" admin=enabled
- '%WINDIR%\syswow64\netsh.exe' interface set interface "VPN125 - VPN Client" admin=disabled
- '%WINDIR%\syswow64\reg.exe' ADD HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\{21A90AAC-A051-469A-9F6C-0A79A58FDCB3} /v InterfaceMetric /t REG_DWORD /d 9000 /F
- '<SYSTEM32>\netsh.exe' netsh interface ipv4 set interface interface="VPN125 - VPN Client" metric=1
- '<SYSTEM32>\netsh.exe' interface set interface name="Local Area Connection 2" newname="VPN125 - VPN Client"
- '%WINDIR%\syswow64\reg.exe' ADD HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\FirewallRules /v "{96679022-D841-4dbf-A3CF-B7A000784E48}" /t REG_SZ /d "v2.10|Action=Allow|Active...
- '%WINDIR%\syswow64\reg.exe' ADD HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\SharedAccess\Parameters\FirewallPolicy\FirewallRules /v "{D6D3ADDA-9655-4de3-9D31-016F45EBB0F2}" /t REG_SZ /d "v2.10|Action=Allow|Active...
- '%WINDIR%\syswow64\reg.exe' ADD HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\SharedAccess\Parameters\FirewallPolicy\FirewallRules /v "{D6D3ADDA-9655-4de3-9D31-016F45EBB0F2}" /t REG_SZ /d "v2.10|Action=Allow|Active=TRU...
- '%WINDIR%\syswow64\reg.exe' ADD HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\SharedAccess\Epoch /v Epoch /t REG_DWORD /d 170 /f
- '%WINDIR%\syswow64\reg.exe' ADD HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\SharedAccess\Epoch /v Epoch /t REG_DWORD /d 170 /f
- '%WINDIR%\syswow64\reg.exe' ADD HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\SharedAccess\Parameters\FirewallPolicy\FirewallRules /v "{742AB71F-A706-4f04-B026-270CB7DD3ED1}" /t REG_SZ /d "v2.10|Action=Allow|Active...
- '%WINDIR%\syswow64\reg.exe' ADD HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\SharedAccess\Parameters\FirewallPolicy\FirewallRules /v "{742AB71F-A706-4f04-B026-270CB7DD3ED1}" /t REG_SZ /d "v2.10|Action=Allow|Active=TRU...
- '%WINDIR%\syswow64\cmd.exe' /c REG Query HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\{21A90AAC-A051-469A-9F6C-0A79A58FDCB3} /v InterfaceMetric
- '%WINDIR%\syswow64\sc.exe' description SEVC "SEVC Server"
- '%WINDIR%\syswow64\reg.exe' ADD HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\FirewallRules /v "{5FF2A1C7-9F9D-4dd1-A3CF-B07BF0CB7483}" /t REG_SZ /d "v2.10|Action=Allow|Active...
- '%WINDIR%\syswow64\reg.exe' ADD HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\SharedAccess\Parameters\FirewallPolicy\FirewallRules /v "{4917AC53-563B-4c1c-9B81-1CC0F5D14ACA}" /t REG_SZ /d "v2.10|Action=Allow|Active...
- '%WINDIR%\syswow64\reg.exe' ADD HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\SharedAccess\Parameters\FirewallPolicy\FirewallRules /v "{4917AC53-563B-4c1c-9B81-1CC0F5D14ACA}" /t REG_SZ /d "v2.10|Action=Allow|Active=TRU...
- '%WINDIR%\syswow64\regedit.exe' /s "C:\Tools\TVNC\Config.vnc"
- '%WINDIR%\syswow64\reg.exe' ADD HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\SharedAccess\Epoch /v Epoch /t REG_DWORD /d 169 /f
- '%WINDIR%\syswow64\reg.exe' ADD HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\SharedAccess\Epoch /v Epoch /t REG_DWORD /d 169 /f
- '%WINDIR%\syswow64\reg.exe' ADD HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\SharedAccess\Parameters\FirewallPolicy\FirewallRules /v "{8DDB02C3-CAAE-4147-9DE7-B37955CF19AA}" /t REG_SZ /d "v2.10|Action=Allow|Active...
- '%WINDIR%\syswow64\reg.exe' ADD HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\SharedAccess\Parameters\FirewallPolicy\FirewallRules /v "{8DDB02C3-CAAE-4147-9DE7-B37955CF19AA}" /t REG_SZ /d "v2.10|Action=Allow|Active=TRU...
- '%WINDIR%\syswow64\cmd.exe' /c regedit /s "C:\Tools\TVNC\Config.vnc"
- '%WINDIR%\syswow64\sc.exe' description TVNC "TVNC Server"
- '%WINDIR%\syswow64\sc.exe' create TVNC binPath= "C:\Tools\TVNC\TVNC.exe -service" start= auto DisplayName= TVNC"
- '%WINDIR%\syswow64\choice.exe' /t 3 /d y /n
- '%WINDIR%\syswow64\sc.exe' create SEVC binPath= "C:\Tools\SEVC\SEVC.exe /service" start= auto DisplayName= SEVC"
- '%WINDIR%\syswow64\reg.exe' Query HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\{21A90AAC-A051-469A-9F6C-0A79A58FDCB3} /v InterfaceMetric
