Program.Rdpwrap.7

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[HKLM\System\CurrentControlSet\Services\TermService] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\TermService\Parameters] 'ServiceDll' = '%ProgramFiles%\RDP Wrapper\rdpwrap.dll'

Создает следующие сервисы

Вредоносные функции

Запускает на исполнение

'%WINDIR%\syswow64\net.exe' stop UmRdpService
'%WINDIR%\syswow64\net.exe' stop TermService
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="Remote Desktop" dir=in protocol=tcp localport=3389 profile=any action=allow

Завершает или пытается завершить

следующие системные процессы:

Изменения в файловой системе

Создает следующие файлы

%TEMP%\rarsfx0\start.bat
C:\rdpwrap\rdp wrapper (program files).lnk
C:\rdpwrap\rdpcheck.exe
C:\rdpwrap\rdpconf.exe
C:\rdpwrap\rdpwinst.exe
C:\rdpwrap\rdpwrap_ini_update.bat
C:\rdpwrap\rdpwrap_ini_update_elevate.bat
C:\rdpwrap\elevate.vbs
C:\rdpwrap\install.bat
C:\rdpwrap\termservice_restart.bat
%HOMEPATH%\desktop\rdpconf.lnk
%HOMEPATH%\desktop\rdpwrap ini frissГtГ©se.lnk
%HOMEPATH%\desktop\term service restart.lnk
%ProgramFiles%\rdp wrapper\rdpwrap.ini
%ProgramFiles%\rdp wrapper\rdpwrap.dll
<SYSTEM32>\microsoft\protect\s-1-5-20\6835e0ab-5e1b-4d39-87de-d6c021a36289
C:\rdpwrap\termservice_restart_elevate.bat
%HOMEPATH%\desktop\rdpcheck.lnk
C:\rdpwrap\lnk\term service restart.lnk
C:\rdpwrap\lnk\rdpwrap ini frissГtГ©se.lnk
C:\rdpwrap\lnk\rdpconf.lnk
%TEMP%\rarsfx0\start_elevate.bat
%TEMP%\rarsfx0\asztalra.bat
%TEMP%\rarsfx0\7za.exe
%TEMP%\rarsfx0\rdpwrap.zip
%TEMP%\rarsfx0\i.txt
%TEMP%\rarsfx0\y.txt
%TEMP%\rarsfx0\datex.exe
%TEMP%\rarsfx0\elevate.vbs
nul
C:\rdpwrap\egyeb\datex.exe
C:\rdpwrap\egyeb\rdpwrap-v1.6.2_dll.zip
C:\rdpwrap\egyeb\rdpwrap_ini_update.ico
C:\rdpwrap\egyeb\termservice_restart.ico
C:\rdpwrap\egyeb\uninstall.bat
C:\rdpwrap\egyeb\update_original.bat
C:\rdpwrap\lnk\rdpcheck.lnk
C:\rdpwrap\egyeb\curl.exe
<SYSTEM32>\microsoft\protect\s-1-5-20\preferred
%ALLUSERSPROFILE%\microsoft\crypto\rsa\machinekeys\f686aace6942fb7f7ceb231212eef4a4_d4602615-9d50-4880-be41-678935e93eaa

Сетевая активность

Подключается к

TCP

Другие

UDP

Другое

Ищет следующие окна

Создает и запускает на исполнение

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\RarSFX0\start.bat" "
'%WINDIR%\syswow64\net.exe' FILE
'%WINDIR%\syswow64\net1.exe' FILE
'%WINDIR%\syswow64\timeout.exe' /T 5 /NOBREAK
'%WINDIR%\syswow64\net1.exe' stop UmRdpService
'%WINDIR%\syswow64\net1.exe' stop TermService
'%WINDIR%\syswow64\cmd.exe' /c sc queryex TermService | findstr PID
'%WINDIR%\syswow64\sc.exe' queryex TermService
'%WINDIR%\syswow64\findstr.exe' PID
'%WINDIR%\syswow64\cmd.exe' /c DateX.exe -f YYYYMMDD_HHNNSS
'%WINDIR%\syswow64\cacls.exe' "c:\RDPWrap" /G mindenki:F
'%WINDIR%\syswow64\cmd.exe' /c REG QUERY "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders" /v Desktop
'%WINDIR%\syswow64\reg.exe' QUERY "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders" /v Desktop