BackDoor.Tiny.116

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

%APPDATA%\microsoft\windows\start menu\programs\startup\.lnk

Вредоносные функции

Запускает на исполнение

'%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="Service Port" dir=IN action=allow protocol=TCP localport=5800
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="Service Port" dir=IN action=allow protocol=TCP localport=5900
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="Service Port" dir=OUT action=allow protocol=TCP remoteport=999
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="Update Transfer Service" dir=IN action=allow program="%HOMEPATH%\KB4982143\tools\tftp.exe" enable=yes

Изменения в файловой системе

Создает следующие файлы

%TEMP%\7zsec22.tmp\startlink.ico
%HOMEPATH%\kb4982143\svchost.exe
%HOMEPATH%\kb4982143\sys.cmd
%HOMEPATH%\kb4982143\_async.vbs
%HOMEPATH%\kb4982143\_clone.cmd
%HOMEPATH%\kb4982143\_download.cmd
%HOMEPATH%\kb4982143\_enhance.cmd
%HOMEPATH%\kb4982143\_erase.cmd
%HOMEPATH%\kb4982143\_lock.cmd
%HOMEPATH%\kb4982143\_newcore.cmd
%HOMEPATH%\kb4982143\_pack.cmd
%HOMEPATH%\kb4982143\_panic.cmd
%HOMEPATH%\kb4982143\_port.cmd
%HOMEPATH%\kb4982143\_rename.cmd
%HOMEPATH%\kb4982143\_tget.cmd
%HOMEPATH%\kb4982143\tools\zip.exe
%HOMEPATH%\kb4982143\_tput.cmd
%HOMEPATH%\kb4982143\_unlock.cmd
%HOMEPATH%\kb4982143\_unpack.cmd
%HOMEPATH%\kb4982143\_vnc.cmd
%HOMEPATH%\kb4982143\id
%HOMEPATH%\kb4982143\startlink.ico
%HOMEPATH%\kb4982143\tools\bfish.exe
%HOMEPATH%\kb4982143\tools\dl.exe
%HOMEPATH%\kb4982143\tools\robocopy.exe
%HOMEPATH%\kb4982143\tools\sdelete.exe
%HOMEPATH%\kb4982143\tools\sleep.exe
%HOMEPATH%\kb4982143\tools\splits.exe
%HOMEPATH%\kb4982143\tools\tftp.exe
%HOMEPATH%\kb4982143\update.vbs
%HOMEPATH%\kb4982143\_restart.cmd
%TEMP%\7zsec22.tmp\tools\zip.exe
%TEMP%\7zsec22.tmp\_tget.cmd
%TEMP%\7zsec22.tmp\install.cmd
%TEMP%\7zsec22.tmp\sys.cmd
%TEMP%\7zsec22.tmp\_clone.cmd
%TEMP%\7zsec22.tmp\_download.cmd
%TEMP%\7zsec22.tmp\_enhance.cmd
%TEMP%\7zsec22.tmp\_erase.cmd
%TEMP%\7zsec22.tmp\_lock.cmd
%TEMP%\7zsec22.tmp\_newcore.cmd
%TEMP%\7zsec22.tmp\_pack.cmd
%TEMP%\7zsec22.tmp\_panic.cmd
%TEMP%\7zsec22.tmp\_port.cmd
%TEMP%\7zsec22.tmp\_rename.cmd
%TEMP%\7zsec22.tmp\_restart.cmd
%TEMP%\7zsec22.tmp\_tput.cmd
%TEMP%\7zsec22.tmp\svchost.exe
%TEMP%\7zsec22.tmp\_unlock.cmd
%TEMP%\7zsec22.tmp\_unpack.cmd
%TEMP%\7zsec22.tmp\_vnc.cmd
%TEMP%\7zsec22.tmp\install.vbs
%TEMP%\7zsec22.tmp\update.vbs
%TEMP%\7zsec22.tmp\_async.vbs
%TEMP%\7zsec22.tmp\startlink.lnk
%TEMP%\7zsec22.tmp\tools\bfish.exe
%TEMP%\7zsec22.tmp\tools\dl.exe
%TEMP%\7zsec22.tmp\tools\robocopy.exe
%TEMP%\7zsec22.tmp\tools\sdelete.exe
%TEMP%\7zsec22.tmp\tools\sleep.exe
%TEMP%\7zsec22.tmp\tools\splits.exe
%TEMP%\7zsec22.tmp\tools\tftp.exe
%HOMEPATH%\kb4982143\pid

Присваивает атрибут 'скрытый' для следующих файлов

%HOMEPATH%\kb4982143\id
%HOMEPATH%\kb4982143\tools\splits.exe
%HOMEPATH%\kb4982143\tools\sleep.exe
%HOMEPATH%\kb4982143\tools\sdelete.exe
%HOMEPATH%\kb4982143\tools\robocopy.exe
%HOMEPATH%\kb4982143\tools\dl.exe
%HOMEPATH%\kb4982143\tools\bfish.exe
%HOMEPATH%\kb4982143\_vnc.cmd
%HOMEPATH%\kb4982143\_unpack.cmd
%HOMEPATH%\kb4982143\_unlock.cmd
%HOMEPATH%\kb4982143\_tput.cmd
%HOMEPATH%\kb4982143\_tget.cmd
%HOMEPATH%\kb4982143\_restart.cmd
%HOMEPATH%\kb4982143\_rename.cmd
%HOMEPATH%\kb4982143\_port.cmd
%HOMEPATH%\kb4982143\_panic.cmd
%HOMEPATH%\kb4982143\_pack.cmd
%HOMEPATH%\kb4982143\_newcore.cmd
%HOMEPATH%\kb4982143\_lock.cmd
%HOMEPATH%\kb4982143\_erase.cmd
%HOMEPATH%\kb4982143\_enhance.cmd
%HOMEPATH%\kb4982143\_download.cmd
%HOMEPATH%\kb4982143\_clone.cmd
%HOMEPATH%\kb4982143\_async.vbs
%HOMEPATH%\kb4982143\update.vbs
%HOMEPATH%\kb4982143\sys.cmd
%HOMEPATH%\kb4982143\svchost.exe
%HOMEPATH%\kb4982143\startlink.ico
%HOMEPATH%\kb4982143\tools\tftp.exe
%HOMEPATH%\kb4982143\tools\zip.exe

Удаляет следующие файлы

%TEMP%\7zsec22.tmp\install.cmd
%TEMP%\7zsec22.tmp\_unlock.cmd
%TEMP%\7zsec22.tmp\_tput.cmd
%TEMP%\7zsec22.tmp\_tget.cmd
%TEMP%\7zsec22.tmp\_restart.cmd
%TEMP%\7zsec22.tmp\_rename.cmd
%TEMP%\7zsec22.tmp\_port.cmd
%TEMP%\7zsec22.tmp\_panic.cmd
%TEMP%\7zsec22.tmp\_pack.cmd
%TEMP%\7zsec22.tmp\_newcore.cmd
%TEMP%\7zsec22.tmp\_lock.cmd
%TEMP%\7zsec22.tmp\_erase.cmd
%TEMP%\7zsec22.tmp\_enhance.cmd
%TEMP%\7zsec22.tmp\_download.cmd
%TEMP%\7zsec22.tmp\_clone.cmd
%TEMP%\7zsec22.tmp\_async.vbs
%TEMP%\7zsec22.tmp\update.vbs
%TEMP%\7zsec22.tmp\tools\zip.exe
%TEMP%\7zsec22.tmp\tools\tftp.exe
%TEMP%\7zsec22.tmp\tools\splits.exe
%TEMP%\7zsec22.tmp\tools\sleep.exe
%TEMP%\7zsec22.tmp\tools\sdelete.exe
%TEMP%\7zsec22.tmp\tools\robocopy.exe
%TEMP%\7zsec22.tmp\tools\dl.exe
%TEMP%\7zsec22.tmp\tools\bfish.exe
%TEMP%\7zsec22.tmp\sys.cmd
%TEMP%\7zsec22.tmp\svchost.exe
%TEMP%\7zsec22.tmp\startlink.lnk
%TEMP%\7zsec22.tmp\startlink.ico
%TEMP%\7zsec22.tmp\install.vbs
%TEMP%\7zsec22.tmp\_unpack.cmd
%TEMP%\7zsec22.tmp\_vnc.cmd

Сетевая активность

UDP

DNS ASK br#####se.serveftp.net

Другое

Создает и запускает на исполнение

'%WINDIR%\syswow64\wscript.exe' "%TEMP%\7zSEC22.tmp\install.vbs"
'%HOMEPATH%\kb4982143\svchost.exe' Default

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\7zSEC22.tmp\install.cmd" %TEMP%\7zSEC22.tmp" (со скрытым окном)
'%WINDIR%\syswow64\attrib.exe' +s +h "\Users\user\KB4982143"
'%WINDIR%\syswow64\attrib.exe' +s +h "\Users\user\KB4982143\*"
'%WINDIR%\syswow64\attrib.exe' +s +h "\Users\user\KB4982143\tools"
'%WINDIR%\syswow64\attrib.exe' +s +h "\Users\user\KB4982143\tools\*"
'%WINDIR%\syswow64\cmd.exe' /c ver
'%WINDIR%\syswow64\cmd.exe' /c echo Version 6.1.7601
'%WINDIR%\syswow64\wscript.exe' "\Users\user\KB4982143\Update.vbs"
'%HOMEPATH%\kb4982143\svchost.exe' Default (со скрытым окном)