BackDoor.RMS.52

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[HKLM\System\CurrentControlSet\Services\RManService] 'Start' = '00000002'
[HKLM\System\CurrentControlSet\Services\RManService] 'ImagePath' = '%ProgramFiles(x86)%\Remote Manipulator System - Server\rutserv.exe'

Создает следующие сервисы

'RManService' %ProgramFiles(x86)%\Remote Manipulator System - Server\rutserv.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\stop.js
%WINDIR%\installer\{11a90858-40bb-4858-a2da-ca6495b5e907}\stop_server_f11ada9a6e8f4fe79139d84a6b091d47.exe
%WINDIR%\installer\{11a90858-40bb-4858-a2da-ca6495b5e907}\romserver.exe_84521f20c7744f7faac4e478858a721d.exe
%WINDIR%\installer\{11a90858-40bb-4858-a2da-ca6495b5e907}\uninst_uninstall_r_3b1e3c8b7d0945898da82ceeed02f0c7.exe
%WINDIR%\installer\{11a90858-40bb-4858-a2da-ca6495b5e907}\arpproducticon.exe
%ProgramFiles(x86)%\remote manipulator system - server\help.chm
%ProgramFiles(x86)%\remote manipulator system - server\dsfvorbisdecoder.dll
%ProgramFiles(x86)%\remote manipulator system - server\msvcp90.dll
%ProgramFiles(x86)%\remote manipulator system - server\ripcserver.dll
%ProgramFiles(x86)%\remote manipulator system - server\hookdrv.dll
%ProgramFiles(x86)%\remote manipulator system - server\rfusclient.exe
%ProgramFiles(x86)%\remote manipulator system - server\eula.rtf
%ProgramFiles(x86)%\remote manipulator system - server\english.lg
%ProgramFiles(x86)%\remote manipulator system - server\rutserv.exe
%ProgramFiles(x86)%\remote manipulator system - server\msvcr90.dll
%ProgramFiles(x86)%\remote manipulator system - server\vp8decoder.dll
%ProgramFiles(x86)%\remote manipulator system - server\vp8encoder.dll
%ProgramFiles(x86)%\remote manipulator system - server\russian.lg
%ProgramFiles(x86)%\remote manipulator system - server\dsfvorbisencoder.dll
%ProgramFiles(x86)%\remote manipulator system - server\microsoft.vc90.crt.manifest
%ProgramFiles(x86)%\remote manipulator system - server\rwln.dll
%TEMP%\~e10b.tmp
%TEMP%\7zipsfx.000\install.cmd
%TEMP%\7zipsfx.000\rms.server5.1b1ru.msi
%WINDIR%\syswow64\sysfiles\rms.exe
%TEMP%\7zsfx000.cmd
%TEMP%\rms.exe
%TEMP%\install.bat
%WINDIR%\installer\{11a90858-40bb-4858-a2da-ca6495b5e907}\config_server_066cadd456d84808bdcee928e4286c5b.exe
%WINDIR%\syswow64\rwln.dll

Присваивает атрибут 'скрытый' для следующих файлов

%WINDIR%\syswow64\sysfiles\rms.exe

Удаляет следующие файлы

%TEMP%\stop.js
%TEMP%\7zsfx000.cmd
%TEMP%\~e10b.tmp
%TEMP%\7zipsfx.000\install.cmd
%TEMP%\7zipsfx.000\rms.server5.1b1ru.msi

Самоудаляется.

Сетевая активность

Подключается к

'rm#####ver.tektonit.ru':5655
'rm##sys.ru':80

TCP

Запросы HTTP GET

http://rm##sys.ru/utils/inet_id_notify.php?te####

Другие

'rm#####ver.tektonit.ru':5655

UDP

DNS ASK rm#####ver.tektonit.ru
DNS ASK rm##sys.ru

Другое

Создает и запускает на исполнение

'%WINDIR%\syswow64\wscript.exe' "%TEMP%\stop.js"
'%WINDIR%\syswow64\sysfiles\rms.exe'
'%ProgramFiles(x86)%\remote manipulator system - server\rfusclient.exe' /server /silentinstall
'%ProgramFiles(x86)%\remote manipulator system - server\rutserv.exe' /silentinstall
'%ProgramFiles(x86)%\remote manipulator system - server\rfusclient.exe' /server /firewall
'%ProgramFiles(x86)%\remote manipulator system - server\rutserv.exe' /firewall
'%ProgramFiles(x86)%\remote manipulator system - server\rfusclient.exe' /server /start
'%ProgramFiles(x86)%\remote manipulator system - server\rutserv.exe' /start
'%ProgramFiles(x86)%\remote manipulator system - server\rutserv.exe'
'%ProgramFiles(x86)%\remote manipulator system - server\rfusclient.exe'
'%ProgramFiles(x86)%\remote manipulator system - server\rfusclient.exe' /tray
'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\install.bat" "' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\7ZSfx000.cmd" "' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\7ZipSfx.000\install.cmd" "' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\install.bat" "
'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\7ZSfx000.cmd" "
'%WINDIR%\syswow64\attrib.exe' +s +h +r "%WINDIR%/system32/sysfiles/RMS.exe"
'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\7ZipSfx.000\install.cmd" "
'%WINDIR%\syswow64\chcp.com' 1251
'%WINDIR%\syswow64\msiexec.exe' /x {61FFA475-24D5-44FB-A51F-39B699E3D82C} /qn REBOOT=ReallySuppress
'%WINDIR%\syswow64\msiexec.exe' /x {11A90858-40BB-4858-A2DA-CA6495B5E907} /qn REBOOT=ReallySuppress
'%WINDIR%\syswow64\ping.exe' 127.0.0.1
'%WINDIR%\syswow64\msiexec.exe' /I "rms.server5.1b1ru.msi" /qn