Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\realtek hd audio.lnk
Вредоносные функции
Запускает большое число процессов
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\rarsfx0\umiko.exe
- %TEMP%\f4aa.tmp\f4bb.bat
- %APPDATA%\windaws\realtek.exe
- %APPDATA%\windaws\rtkgui.exe
- %APPDATA%\windaws\rtk.exe
- %APPDATA%\windaws\realtek.ico
- %APPDATA%\windaws\bfsvc.exe
- %TEMP%\utorrent.log
- %TEMP%\7zs02aa8a83\2025.03.25_13.14.42.409000_installer_pid=2804.txt
- %TEMP%\7zs02aa8a83\fr\devlib.resources.dll
- %TEMP%\7zs02aa8a83\wizardpages.dll
- %TEMP%\7zs02aa8a83\utorrent.dll
- %TEMP%\7zs02aa8a83\microsoft.win32.taskscheduler.dll
- %TEMP%\7zs02aa8a83\devlib.dll
- %TEMP%\fd13.tmp\fd24.bat
- %TEMP%\7zs02aa8a83\installer.exe
- %TEMP%\7zs02aa8a83\carrier.exe
- %TEMP%\7zs02aa8a83\es\devlib.resources.dll
- %TEMP%\7zs02aa8a83\en\devlib.resources.dll
- %TEMP%\7zs02aa8a83\de\devlib.resources.dll
- %TEMP%\7zs02aa8a83\genericsetup.exe.config
- %TEMP%\7zs02aa8a83\bundleconfig.xml
- %TEMP%\realtek\realtek86.exe
- %TEMP%\realtek\realtek64.exe
- %TEMP%\realtek\explorer.vbs
- %TEMP%\realtek\dech.vbs
- %TEMP%\$inst\temp_0.tmp
- %TEMP%\$inst\2.tmp
- %TEMP%\rarsfx0\utorrent.exe
- %TEMP%\7zs02aa8a83\genericsetup.exe
- %TEMP%\eb0.tmp\ec0.bat
Присваивает атрибут 'скрытый' для следующих файлов
- %TEMP%\realtek\dech.vbs
- %TEMP%\realtek\explorer.vbs
- %TEMP%\realtek\realtek64.exe
- %TEMP%\realtek\realtek86.exe
- %APPDATA%\windaws\bfsvc.exe
- %APPDATA%\windaws\realtek.ico
- %APPDATA%\windaws\rtk.exe
- %APPDATA%\windaws\rtkgui.exe
- %APPDATA%\windaws\realtek.exe
Удаляет следующие файлы
- %TEMP%\$inst\temp_0.tmp
- %TEMP%\$inst\2.tmp
- %TEMP%\f4aa.tmp\f4bb.bat
Сетевая активность
Подключается к
- 'go#.gl':443
- 'fl##.#avasoft.com':80
- 'so#.#daware.com':443
- 'fl##.#avasoft.com':443
- 'pk#.goog':80
- 'ip###ger.org':443
- 'so#.#daware.com':80
TCP
Запросы HTTP GET
- http://pk#.goog/gsr1/gsr1.crt
Запросы HTTP POST
- http://fl##.#avasoft.com/v1/event-stat/?Pr##################################
- http://so#.#daware.com/v1/bundle/list/?bu############
Другие
- 'go#.gl':443
- 'so#.#daware.com':443
- 'fl##.#avasoft.com':443
- 'ip###ger.org':443
UDP
- DNS ASK go#.gl
- DNS ASK google.com
- DNS ASK fl##.#avasoft.com
- DNS ASK so#.#daware.com
- DNS ASK pk#.goog
- DNS ASK ip###ger.org
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\rarsfx0\umiko.exe'
- '%WINDIR%\syswow64\wscript.exe' "%TEMP%\Realtek\dech.vbs"
- '%WINDIR%\syswow64\wscript.exe' "%TEMP%\Realtek\Explorer.vbs"
- '%TEMP%\rarsfx0\utorrent.exe'
- '%TEMP%\7zs02aa8a83\installer.exe'
- '%TEMP%\7zs02aa8a83\genericsetup.exe' %TEMP%\7zS02AA8A83\GenericSetup.exe husertype=Admin
- '%TEMP%\realtek\realtek64.exe'
- '%APPDATA%\windaws\realtek.exe'
- '%APPDATA%\windaws\rtkgui.exe'
- '%APPDATA%\windaws\rtk.exe'
- '%APPDATA%\windaws\bfsvc.exe' -a cryptonight -o operta.zapto.org:80 -u x1 -p x1 -t 1
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\F4AA.tmp\F4BB.bat %APPDATA%\Windaws\Realtek.exe" (со скрытым окном)
- '<SYSTEM32>\tasklist.exe' /FI "ImageName EQ RtkGui.exe"
- '<SYSTEM32>\find.exe' /I "RtkGui.exe"
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\FD13.tmp\FD24.bat %APPDATA%\Windaws\RtkGui.exe" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c tasklist /NH /FI "IMAGENAME eq taskmgr.exe"
- '<SYSTEM32>\tasklist.exe' /NH /FI "IMAGENAME eq taskmgr.exe"
- '<SYSTEM32>\cmd.exe' /c tasklist /NH /FI "IMAGENAME eq procexp64.exe"
- '<SYSTEM32>\tasklist.exe' /NH /FI "IMAGENAME eq procexp64.exe"
- '<SYSTEM32>\cmd.exe' /c tasklist /NH /FI "IMAGENAME eq ProcessHacker.exe"
- '<SYSTEM32>\tasklist.exe' /NH /FI "IMAGENAME eq ProcessHacker.exe"
- '<SYSTEM32>\timeout.exe' /t 1 /nobreak
- '<SYSTEM32>\cmd.exe' /c tasklist /NH /FI "IMAGENAME eq bfsvc.exe"
- '<SYSTEM32>\tasklist.exe' /NH /FI "IMAGENAME eq bfsvc.exe"
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\EB0.tmp\EC0.bat %APPDATA%\Windaws\Rtk.exe" (со скрытым окном)
- '%WINDIR%\syswow64\wscript.exe' "%TEMP%\Realtek\dech.vbs" (со скрытым окном)
- '%WINDIR%\syswow64\wscript.exe' "%TEMP%\Realtek\Explorer.vbs" (со скрытым окном)
Использует альтернативные потоки данных NTFS
