Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'Sessmgr' = '%HOMEPATH%\Local Settings\Application Data\sessmgr.exe'
- [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'DllHost3g' = '%HOMEPATH%\Local Settings\Application Data\Microsoft\dllhst3g.exe'
- [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'Microsoft RSVP' = '%HOMEPATH%\Local Settings\Application Data\Microsoft\rsvp.exe'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'Mstsc' = '%WINDIR%\System\mstsc.exe'
- [HKCU\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows] 'load' = '%ProgramFiles%\rsvp.exe'
- [HKCU\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows] 'run' = '%APPDATA%\Microsoft\winlogon.exe'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'Task Scheduler' = '%WINDIR%\mstinit.exe'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'MessageService' = '<DRIVERS>\mqtgsvc.exe'
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\twain002.mtx
- %WINDIR%\rcxeb4e.tmp
- %WINDIR%\mstinit.exe
- %APPDATA%\Microsoft\rcxe709.tmp
- %APPDATA%\Microsoft\winlogon.exe
- %ProgramFiles%\rcxe073.tmp
- %ProgramFiles%\rsvp.exe
- %WINDIR%\syswow64\drivers\mqtgsvc.exe
- %WINDIR%\system\rcxdb53.tmp
- %HOMEPATH%\local settings\application data\microsoft\rcxd72e.tmp
- %HOMEPATH%\local settings\application data\microsoft\rsvp.exe
- %HOMEPATH%\local settings\application data\microsoft\rcxd2e9.tmp
- %HOMEPATH%\local settings\application data\microsoft\dllhst3g.exe
- %HOMEPATH%\local settings\application data\rcxcd3d.tmp
- %HOMEPATH%\local settings\application data\sessmgr.exe
- %WINDIR%\system\mstsc.exe
- %WINDIR%\syswow64\drivers\rcxef35.tmp
Перемещает следующие файлы
- %HOMEPATH%\local settings\application data\rcxcd3d.tmp в %HOMEPATH%\local settings\application data\sessmgr.exe
- %HOMEPATH%\local settings\application data\microsoft\rcxd2e9.tmp в %HOMEPATH%\local settings\application data\microsoft\dllhst3g.exe
- %HOMEPATH%\local settings\application data\microsoft\rcxd72e.tmp в %HOMEPATH%\local settings\application data\microsoft\rsvp.exe
- %WINDIR%\system\rcxdb53.tmp в %WINDIR%\system\mstsc.exe
- %ProgramFiles%\rcxe073.tmp в %ProgramFiles%\rsvp.exe
- %APPDATA%\Microsoft\rcxe709.tmp в %APPDATA%\Microsoft\winlogon.exe
- %WINDIR%\rcxeb4e.tmp в %WINDIR%\mstinit.exe
- %WINDIR%\syswow64\drivers\rcxef35.tmp в %WINDIR%\syswow64\drivers\mqtgsvc.exe
Сетевая активность
Подключается к
- '34.##9.100.209':443
- 'co##############e-chains.prod.autograph.services.mozaws.net':443
- 'ms###csi.com':80
TCP
Запросы HTTP GET
- http://www.ms###csi.com/ncsi.txt
Другие
- '34.##9.100.209':443
UDP
- DNS ASK co##############e-chains.prod.autograph.services.mozaws.net
- DNS ASK ly###s-db.org
Другое
Создает и запускает на исполнение
- '%HOMEPATH%\local settings\application data\sessmgr.exe' /c 52
- '%APPDATA%\Microsoft\winlogon.exe' \c 11
- '%ProgramFiles%\rsvp.exe' \c 94
- '%WINDIR%\system\mstsc.exe' /c 84
- '%HOMEPATH%\local settings\application data\microsoft\rsvp.exe' /c 76
- '%HOMEPATH%\local settings\application data\microsoft\dllhst3g.exe' /c 41
- '%HOMEPATH%\local settings\application data\sessmgr.exe' /c 24
- '%HOMEPATH%\local settings\application data\sessmgr.exe' /r
- '%HOMEPATH%\local settings\application data\sessmgr.exe' /c 39
- '%WINDIR%\syswow64\drivers\mqtgsvc.exe' /c 64
- '%WINDIR%\mstinit.exe' /c 8
- '%APPDATA%\Microsoft\winlogon.exe' \c 26
- '%ProgramFiles%\rsvp.exe' \c 66
- '%WINDIR%\system\mstsc.exe' /c 43
- '%HOMEPATH%\local settings\application data\microsoft\rsvp.exe' /c 86
- '%HOMEPATH%\local settings\application data\microsoft\dllhst3g.exe' /c 78
- '%WINDIR%\mstinit.exe' /c 29
- '%WINDIR%\syswow64\drivers\mqtgsvc.exe' /c 15
Запускает на исполнение
- '%HOMEPATH%\local settings\application data\sessmgr.exe' /c 52 (со скрытым окном)
- '%APPDATA%\Microsoft\winlogon.exe' \c 11 (со скрытым окном)
- '%ProgramFiles%\rsvp.exe' \c 94 (со скрытым окном)
- '%WINDIR%\system\mstsc.exe' /c 84 (со скрытым окном)
- '%HOMEPATH%\local settings\application data\microsoft\rsvp.exe' /c 76 (со скрытым окном)
- '%HOMEPATH%\local settings\application data\microsoft\dllhst3g.exe' /c 41 (со скрытым окном)
- '%HOMEPATH%\local settings\application data\sessmgr.exe' /c 24 (со скрытым окном)
- '%HOMEPATH%\local settings\application data\sessmgr.exe' /r (со скрытым окном)
- '%HOMEPATH%\local settings\application data\sessmgr.exe' /c 39 (со скрытым окном)
- '%WINDIR%\syswow64\drivers\mqtgsvc.exe' /c 64 (со скрытым окном)
- '%WINDIR%\mstinit.exe' /c 8 (со скрытым окном)
- '%APPDATA%\Microsoft\winlogon.exe' \c 26 (со скрытым окном)
- '%ProgramFiles%\rsvp.exe' \c 66 (со скрытым окном)
- '%WINDIR%\system\mstsc.exe' /c 43 (со скрытым окном)
- '%HOMEPATH%\local settings\application data\microsoft\rsvp.exe' /c 86 (со скрытым окном)
- '%HOMEPATH%\local settings\application data\microsoft\dllhst3g.exe' /c 78 (со скрытым окном)
- '%WINDIR%\mstinit.exe' /c 29 (со скрытым окном)
- '%WINDIR%\syswow64\drivers\mqtgsvc.exe' /c 15 (со скрытым окном)
