Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = '<SYSTEM32>\userinit.exe,"%TEMP%\rknrl.vbs"'
- [HKCU\software\microsoft\windows\currentversion\run] 'winstart' = 'wscript.exe //B "%TEMP%\rknrl.vbs"'
- [HKLM\software\microsoft\windows\currentversion\run] 'winstart' = 'wscript.exe //B "%TEMP%\rknrl.vbs"'
- [\REGISTRY\USER\S-1-5-18\software\microsoft\windows\currentversion\run] 'winstart' = 'wscript.exe //B "%TEMP%\rknrl.vbs"'
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\rknrl.vbs
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\RemoteAccess] 'Start' = '00000002'
- [HKLM\System\CurrentControlSet\Services\RemoteAccess] 'ImagePath' = '<SYSTEM32>\wscript.exe //B C:\autoexec.vbs'
- [HKLM\System\CurrentControlSet\Services\MsRkNrLwsf] 'Start' = '00000002'
- [HKLM\System\CurrentControlSet\Services\MsRkNrLwsf] 'ImagePath' = '<SYSTEM32>\wscript.exe //B "C:\autoexec.wsf"'
Создает следующие сервисы
- 'MsRkNrLwsf' <SYSTEM32>\wscript.exe //B "C:\autoexec.wsf"
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\recycl\rkrl.vbs
Вредоносные функции
Создает и запускает на исполнение
- '%TEMP%\explorer.exe' //B "%TEMP%\winstart.vbs"
- '%WINDIR%\temp\svchost.exe' //B "%WINDIR%\TEMP\winstart.vbs"
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\wscript.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\winstart.vbs
- <SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\content.ie5\xvoaljg6\tmp[1].tmp
- <SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\content.ie5\xvoaljg6\playback[1].php
- <SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\content.ie5\zqy7w20u\winstart[1].wsf
- %WINDIR%\temp\win.wsf
- <SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\content.ie5\xvoaljg6\winstart[1].wsf
- <SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\content.ie5\wgdzc5z5\tmp[1].tmp
- <SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\content.ie5\4t74k55w\playback[1].php
- %TEMP%\~cmdscript.tmp
- %TEMP%\rad1d69e.tmp
- %TEMP%\radaf05f.tmp
- %TEMP%\rad4ad8e.tmp
- <SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\content.ie5\wgdzc5z5\winstart[1].wsf
- %TEMP%\rad8a17f.tmp
- <SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\content.ie5\zqy7w20u\playback[1].php
- %WINDIR%\temp\svchost.exe
- %WINDIR%\temp\winstart.vbs
- %TEMP%\winstart.wsf
- %TEMP%\win.wsf
- %TEMP%\tmp.tmp
- %TEMP%\rknrl.vbs
- %WINDIR%\temp\rknrl.tmp
- C:\autoexec.vbs
- %TEMP%\explorer.exe
- %TEMP%\rknrl.reg
- %TEMP%\radc2d2d.tmp
- <SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\content.ie5\wgdzc5z5\playback[1].php
Присваивает атрибут 'скрытый' для следующих файлов
- C:\autoexec.vbs
Удаляет следующие файлы
- %TEMP%\rknrl.reg
- <SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\content.ie5\zqy7w20u\playback[1].php
- %TEMP%\dm7332.tmp
- %TEMP%\~cmdscript.tmp
- <SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\content.ie5\4t74k55w\playback[1].php
- <SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\content.ie5\xvoaljg6\winstart[1].wsf
- <SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\content.ie5\xvoaljg6\playback[1].php
- <SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\content.ie5\wgdzc5z5\tmp[1].tmp
- <SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\content.ie5\zqy7w20u\winstart[1].wsf
- <SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\content.ie5\wgdzc5z5\winstart[1].wsf
- <SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\content.ie5\wgdzc5z5\playback[1].php
- <SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\content.ie5\xvoaljg6\tmp[1].tmp
Перемещает следующие файлы
- %TEMP%\radc2d2d.tmp в %TEMP%\dm7332.tmp
Подменяет следующие файлы
- %TEMP%\dm7332.tmp
- %TEMP%\~cmdscript.tmp
- <SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\content.ie5\xvoaljg6\playback[1].php
- <SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\content.ie5\zqy7w20u\winstart[1].wsf
Сетевая активность
Подключается к
- 'ai########orld.airobotheworld.com':80
- 'a1.####botheworld.com':80
- 'ap#.##herscan.io':80
- 'a1.####ingtokill.club':80
- 'a1.##s6.club':80
TCP
Запросы HTTP GET
- http://a1.####botheworld.com/ctrl/file/TMP.TMP
- http://a1.####botheworld.com/ctrl/file/winstart.wsf
- http://ap#.##herscan.io/api?mo#############################################################################
- http://a1.####botheworld.com/ctrl/url.html
- http://19#.#9.243.225/ctrl/playback.php
Запросы HTTP POST
- http://ai########orld.airobotheworld.com/ctrl/playback.php
UDP
- DNS ASK ai#####heworld.gicp.net
- DNS ASK ai########orld.airobotheworld.com
- DNS ASK a1.####botheworld.com
- DNS ASK ap#.##herscan.io
- DNS ASK a1.####ingtokill.club
- DNS ASK a1.##s6.club
Другое
Ищет следующие окна
- ClassName: 'RegEdit_RegEdit' WindowName: ''
Создает и запускает на исполнение
- '<SYSTEM32>\wscript.exe' //B "%TEMP%\win.wsf"
- '<SYSTEM32>\wscript.exe' //B C:\autoexec.vbs
- '<SYSTEM32>\wscript.exe' //B "%TEMP%\winstart.wsf"
- '<SYSTEM32>\wscript.exe' //B "%WINDIR%\TEMP\win.wsf"
- '<SYSTEM32>\cmd.exe' /c regedit /s /q %TEMP%\rknrl.reg' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c sc stop RemoteAccess' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c sc config RemoteAccess binpath= "<SYSTEM32>\wscript.exe //B C:\autoexec.vbs" start= auto' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c sc start RemoteAccess' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c nslookup a1.airobotheworld.com>>%TEMP%\~cmdscript.tmp' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c nslookup a1.aigoingtokill.club>>%TEMP%\~cmdscript.tmp' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c nslookup a1.6cs6.club>>%TEMP%\~cmdscript.tmp' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c regedit /s /q %TEMP%\rknrl.reg
- '%WINDIR%\regedit.exe' /s /q %TEMP%\rknrl.reg
- '<SYSTEM32>\cmd.exe' /c sc stop RemoteAccess
- '<SYSTEM32>\cmd.exe' /c sc config RemoteAccess binpath= "<SYSTEM32>\wscript.exe //B C:\autoexec.vbs" start= auto
- '<SYSTEM32>\cmd.exe' /c sc start RemoteAccess
- '<SYSTEM32>\sc.exe' stop RemoteAccess
- '<SYSTEM32>\sc.exe' config RemoteAccess binpath= "<SYSTEM32>\wscript.exe //B C:\autoexec.vbs" start= auto
- '<SYSTEM32>\sc.exe' start RemoteAccess
- '<SYSTEM32>\cmd.exe' /c nslookup a1.airobotheworld.com>>%TEMP%\~cmdscript.tmp
- '<SYSTEM32>\nslookup.exe' a1.airobotheworld.com
- '<SYSTEM32>\cmd.exe' /c nslookup a1.aigoingtokill.club>>%TEMP%\~cmdscript.tmp
- '<SYSTEM32>\nslookup.exe' a1.aigoingtokill.club
- '<SYSTEM32>\cmd.exe' /c nslookup a1.6cs6.club>>%TEMP%\~cmdscript.tmp
- '<SYSTEM32>\nslookup.exe' a1.6cs6.club
