Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Classes\RemoteAccess\shell\open\Command] '' = '%PROGRAM_FILES%\RemoteAccess\nraccess.exe %1'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\NetEnrich Remote Access] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '%PROGRAM_FILES%\RemoteAccess\nraccess.exe' -service
- '%PROGRAM_FILES%\RemoteAccess\nraccess.exe'
- '%TEMP%\7zS1.tmp\nrainst-aHR0cHM6Ly9uZGEtYmV0YS5uZXRlbnJpY2gubmV0L3w3MTU%3D.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %PROGRAM_FILES%\RemoteAccess\scripts\pingMonitorCfg.txt
- %PROGRAM_FILES%\RemoteAccess\scripts\pingMonitor.vbe
- %PROGRAM_FILES%\RemoteAccess\scripts\sqlreport.ini
- %PROGRAM_FILES%\RemoteAccess\scripts\sql_report.vbe
- %PROGRAM_FILES%\RemoteAccess\scripts\patch_install.vbe
- %PROGRAM_FILES%\RemoteAccess\scripts\eventLogMonitor.vbe
- %PROGRAM_FILES%\RemoteAccess\scripts\disk_defrag.vbe
- %PROGRAM_FILES%\RemoteAccess\scripts\missingPatches.vbe
- %PROGRAM_FILES%\RemoteAccess\scripts\invokeInstallPatch.vbe
- %PROGRAM_FILES%\RemoteAccess\accesslog.txt
- %PROGRAM_FILES%\RemoteAccess\moupdater.ini
- <SYSTEM32>\accesslog.txt
- %PROGRAM_FILES%\RemoteAccess\Uninstall.exe
- %PROGRAM_FILES%\RemoteAccess\scripts\wsusconfig.ini
- %PROGRAM_FILES%\RemoteAccess\scripts\temp_files.vbe
- %PROGRAM_FILES%\RemoteAccess\nraccess.ini
- %TEMP%\nsb3.tmp\System.dll
- %PROGRAM_FILES%\RemoteAccess\scripts\Backup.exe
- %PROGRAM_FILES%\RemoteAccess\scripts\ADCheckList.vbe
- %PROGRAM_FILES%\RemoteAccess\scripts\EXBPACheckList.vbe
- %PROGRAM_FILES%\RemoteAccess\scripts\DiskMonit_config.txt
- %PROGRAM_FILES%\RemoteAccess\moupdater.exe
- %TEMP%\nsb3.tmp\UserInfo.dll
- %TEMP%\7zS1.tmp\nrainst-aHR0cHM6Ly9uZGEtYmV0YS5uZXRlbnJpY2gubmV0L3w3MTU%3D.exe
- %PROGRAM_FILES%\RemoteAccess\nssHooks.dll
- %PROGRAM_FILES%\RemoteAccess\nraccess.exe
- %PROGRAM_FILES%\RemoteAccess\scripts\avConfig.txt
- %PROGRAM_FILES%\RemoteAccess\scripts\asset_info.vbe
- %PROGRAM_FILES%\RemoteAccess\scripts\diskMonitor.vbe
- %PROGRAM_FILES%\RemoteAccess\scripts\deleteAVOldestFiles.vbe
- %PROGRAM_FILES%\RemoteAccess\scripts\antivirus_update.vbe
- %PROGRAM_FILES%\RemoteAccess\scripts\MBSAScan.vbe
- %PROGRAM_FILES%\RemoteAccess\scripts\EventLogMonit_config.txt
- %PROGRAM_FILES%\RemoteAccess\scripts\WSUS_Config.vbe
- %PROGRAM_FILES%\RemoteAccess\scripts\PatchLocalInstall.vbe
Удаляет следующие файлы:
- %TEMP%\7zS1.tmp\nrainst-aHR0cHM6Ly9uZGEtYmV0YS5uZXRlbnJpY2gubmV0L3w3MTU%3D.exe
- %TEMP%\nsb3.tmp\UserInfo.dll
- %TEMP%\nsb3.tmp\System.dll
Сетевая активность:
Подключается к:
- 'nd#####a.netenrich.net':443
UDP:
- DNS ASK nd#####a.netenrich.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'NEAccess-EC0794FC-3C20-11DB-8AF6-B622A1EF5492' WindowName: '(null)'
