Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\AdskNLM] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\Services\AdskNLM] 'ImagePath' = '"%CommonProgramFiles(x86)%\Autodesk Shared\Network License Manager\lmgrd.exe"'
Создает следующие сервисы
- 'AdskNLM' %CommonProgramFiles(x86)%\Autodesk Shared�etwork License Manager\lmgrd.exe
- 'AdskNLM' %CommonProgramFiles(x86)%\Autodesk Shared\Network License Manager\lmgrd.exe
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /im AdskLicensingAgent.exe /f
- '<SYSTEM32>\taskkill.exe' /f /im AdAppMgrSvc.exe
- '<SYSTEM32>\taskkill.exe' /f /im AutodeskDesktopApp.exe
- '<SYSTEM32>\taskkill.exe' /f /im AdskIdentityManager.exe
- '<SYSTEM32>\taskkill.exe' /f /im "Autodesk Access UI Host.exe"
- '<SYSTEM32>\taskkill.exe' /f /im "AdskAccessCore.exe"
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\adsk-nlm\nlm.mst
- %TEMP%\adsk-nlm\unnamed.json
- %TEMP%\adsk-nlm\delnowmic.ps1
- %TEMP%\adsk-nlm\nlm11-19-4-1-ipv4-ipv6-win64.msi
- %TEMP%\adsk-nlm\licenses.lic
- %TEMP%\adsk-nlm\version_old.dll
- %TEMP%\adsk-nlm\adskflex.exe
- %TEMP%\adsk-nlm\version.dll
- %CommonProgramFiles(x86)%\autodesk shared\adsklicensing\current\adsklicensingagent\version.dll
- %WINDIR%\installer\f23bc.mst
- %WINDIR%\temp\~df0d08a4a879eae50d.tmp
- %WINDIR%\installer\sourcehash{4be91685-1632-47fc-b563-a8a542c6664c}
- %WINDIR%\temp\~df0521903ecd98cf12.tmp
- %WINDIR%\temp\~df6a68e93a39ee19b1.tmp
- %WINDIR%\temp\~df0d471992f3f046e7.tmp
- %CommonProgramFiles(x86)%\autodesk shared\network license manager\adskflex.exe
- %CommonProgramFiles(x86)%\autodesk shared\network license manager\license.rtf
- %CommonProgramFiles(x86)%\autodesk shared\network license manager\licenseadministration.pdf
- %CommonProgramFiles(x86)%\autodesk shared\network license manager\lmgrd.exe
- %CommonProgramFiles(x86)%\autodesk shared\network license manager\lmtools.exe
- %CommonProgramFiles(x86)%\autodesk shared\network license manager\lmutil.exe
- %WINDIR%\installer\{4be91685-1632-47fc-b563-a8a542c6664c}\icon.ico
- %WINDIR%\installer\{4be91685-1632-47fc-b563-a8a542c6664c}\lmtools.ico
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\autodesk\nlrm\lmtools utility.lnk
- %WINDIR%\installer\{4be91685-1632-47fc-b563-a8a542c6664c}\nlm.mst
- %WINDIR%\temp\~df9bf59a1178af9070.tmp
- %WINDIR%\temp\~dfb0d02de80aefc100.tmp
- %WINDIR%\temp\~df467df717ff20592c.tmp
- %WINDIR%\temp\~df2eb412fe53bcf9c0.tmp
- %WINDIR%\temp\~df09933de1f441bedd.tmp
- %WINDIR%\temp\~dfde14336dfe8c8212.tmp
- %WINDIR%\temp\~dffddf903f04ba1106.tmp
- %WINDIR%\temp\~df026908d1cd864680.tmp
- %CommonProgramFiles(x86)%\autodesk shared\network license manager\licenses.lic
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Перезапускает анализируемый образец
Запускает на исполнение
- '<SYSTEM32>\sc.exe' stop AdskLicensingService (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c echo D | xcopy /hkry "%TEMP%\Adsk-NLM\version.dll" "%CommonProgramFiles(x86)%\Autodesk Shared\AdskLicensing\Current\AdskLicensingAgent" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /S /D /c" echo D "
- '<SYSTEM32>\xcopy.exe' /hkry "%TEMP%\Adsk-NLM\version.dll" "%CommonProgramFiles(x86)%\Autodesk Shared\AdskLicensing\Current\AdskLicensingAgent"
- '<SYSTEM32>\cmd.exe' /c if exist "%CommonProgramFiles(x86)%\Autodesk Shared\AdskLicensing\10.1.0.3194\AdskLicensingAgent\AdskLicensingAgent.exe" ( echo F | xcopy /hkry "%TEMP%\Adsk-NLM\version_old.dll" "%CommonProg... (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c if exist "%CommonProgramFiles(x86)%\Autodesk Shared\AdskLicensing\10.#.1.66\AdskLicensingAgent\AdskLicensingAgent.exe" ( echo F | xcopy /hkry "%TEMP%\Adsk-NLM\version_old.dll" "%CommonProgra... (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c if exist "%CommonProgramFiles(x86)%\Autodesk Shared\AdskLicensing\10.2.0.4231\AdskLicensingAgent\AdskLicensingAgent.exe" ( echo F | xcopy /hkry "%TEMP%\Adsk-NLM\version_old.dll" "%CommonProg... (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c if exist "%CommonProgramFiles(x86)%\Autodesk Shared\AdskLicensing\11.0.0.4854\AdskLicensingAgent\AdskLicensingAgent.exe" ( echo F | xcopy /hkry "%TEMP%\Adsk-NLM\version_old.dll" "%CommonProg... (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c if exist "%CommonProgramFiles(x86)%\Autodesk Shared\AdskLicensing\11.1.0.5629\AdskLicensingAgent\AdskLicensingAgent.exe" ( echo F | xcopy /hkry "%TEMP%\Adsk-NLM\version_old.dll" "%CommonProg... (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c if exist "%CommonProgramFiles(x86)%\Autodesk Shared\AdskLicensing\11.#.1.17\AdskLicensingAgent\AdskLicensingAgent.exe" ( echo F | xcopy /hkry "%TEMP%\Adsk-NLM\version_old.dll" "%CommonProgra... (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c if exist "%CommonProgramFiles(x86)%\Autodesk Shared\AdskLicensing\12.0.0.6529\AdskLicensingAgent\AdskLicensingAgent.exe" ( echo F | xcopy /hkry "%TEMP%\Adsk-NLM\version_old.dll" "%CommonProg... (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c if exist "%CommonProgramFiles(x86)%\Autodesk Shared\AdskLicensing\12.#.1.5\AdskLicensingAgent\AdskLicensingAgent.exe" ( echo F | xcopy /hkry "%TEMP%\Adsk-NLM\version_old.dll" "%CommonProgram... (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c if exist "%CommonProgramFiles(x86)%\Autodesk Shared\AdskLicensing\12.1.0.7121\AdskLicensingAgent\AdskLicensingAgent.exe" ( echo F | xcopy /hkry "%TEMP%\Adsk-NLM\version_old.dll" "%CommonProg... (со скрытым окном)
- '<SYSTEM32>\sc.exe' start AdskLicensingService (со скрытым окном)
- '<SYSTEM32>\reg.exe' delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "Autodesk Access" /f (со скрытым окном)
- '<SYSTEM32>\sc.exe' stop "Autodesk Access Service Host" (со скрытым окном)
- '<SYSTEM32>\sc.exe' config "Autodesk Access Service Host" start= demand (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c "%ProgramFiles%\Autodesk\AdskIdentityManager\uninstall.exe" --mode unattended (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c "%ProgramFiles(x86)%\Autodesk\Autodesk Desktop App\removeAdAppMgr.exe" --mode unattended (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c if exist "<SYSTEM32>\wbem\WMIC.exe" ( wmic product where name="Autodesk Single Sign On Component" call uninstall /nointeractive ) (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' product where name="Autodesk Single Sign On Component" call uninstall /nointeractive
- '<SYSTEM32>\cmd.exe' /c del /q /f "%LOCALAPPDATA%\Autodesk\Genuine Autodesk Service\id.dat" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c ren "%ALLUSERSPROFILE%\Autodesk\Adlm\ProductInformation.pit" "ProductInformation.bak" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c if exist "<SYSTEM32>\wbem\WMIC.exe" ( wmic product where name="Autodesk Genuine Service" call uninstall /nointeractive ) (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' product where name="Autodesk Genuine Service" call uninstall /nointeractive
- '<SYSTEM32>\sc.exe' stop AdskNLM (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c if exist "<SYSTEM32>\wbem\WMIC.exe" ( wmic product where name="Autodesk Network License Manager" call uninstall /nointeractive ) else ( powershell.exe -ExecutionPolicy ByPass -command ". '%T... (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' product where name="Autodesk Network License Manager" call uninstall /nointeractive
- '<SYSTEM32>\cmd.exe' /c ren "%ALLUSERSPROFILE%\Autodesk\Adlm\ProductInformation.bak" "ProductInformation.pit" (со скрытым окном)
- '<SYSTEM32>\msiexec.exe' /i "%TEMP%\Adsk-NLM\nlm11-19-4-1-ipv4-ipv6-win64.msi" TRANSFORMS=nlm.mst INSTALLFOLDER="%CommonProgramFiles(x86)%\Autodesk Shared\Network License Manager" /qn (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c echo D | xcopy /hkry "%TEMP%\Adsk-NLM\adskflex.exe" "%CommonProgramFiles(x86)%\Autodesk Shared\Network License Manager" (со скрытым окном)
- '<SYSTEM32>\xcopy.exe' /hkry "%TEMP%\Adsk-NLM\adskflex.exe" "%CommonProgramFiles(x86)%\Autodesk Shared\Network License Manager"
- '<SYSTEM32>\cmd.exe' /c echo D | xcopy /hkry "%TEMP%\Adsk-NLM\licenses.lic" "%CommonProgramFiles(x86)%\Autodesk Shared\Network License Manager" (со скрытым окном)
- '<SYSTEM32>\xcopy.exe' /hkry "%TEMP%\Adsk-NLM\licenses.lic" "%CommonProgramFiles(x86)%\Autodesk Shared\Network License Manager"
- '<SYSTEM32>\sc.exe' create AdskNLM binPath= "\"%CommonProgramFiles(x86)%\Autodesk Shared\Network License Manager\lmgrd.exe\"" start= auto depend= WinMgmt/+NetworkProvider obj= "NT AUTHORITY\LocalService" displayna... (со скрытым окном)
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Autodesk\ODIS" /v "DisableAutoUpdate" /t "REG_DWORD" /d "1" /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\FLEXlm License Manager\AdskNLM" /v "Lmgrd" /d "%CommonProgramFiles(x86)%\Autodesk Shared\Network License Manager\lmgrd.exe" /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\FLEXlm License Manager\AdskNLM" /v "License" /d "%CommonProgramFiles(x86)%\Autodesk Shared\Network License Manager\licenses.lic" /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\FLEXlm License Manager\AdskNLM" /v "Service" /d "AdskNLM" /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\FLEXlm License Manager" /v "lmtools_LM_A_DISABLE_ENV" /t "REG_DWORD" /d "1" /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\WOW6432Node\FLEXlm License Manager\AdskNLM" /v "Lmgrd" /d "%CommonProgramFiles(x86)%\Autodesk Shared\Network License Manager\lmgrd.exe" /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\WOW6432Node\FLEXlm License Manager\AdskNLM" /v "License" /d "%CommonProgramFiles(x86)%\Autodesk Shared\Network License Manager\licenses.lic" /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\WOW6432Node\FLEXlm License Manager\AdskNLM" /v "Service" /d "AdskNLM" /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\WOW6432Node\FLEXlm License Manager" /v "lmtools_LM_A_DISABLE_ENV" /t "REG_DWORD" /d "1" /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' delete "HKCU\SOFTWARE\FLEXlm License Manager" /v "ADSKFLEX_LICENSE_FILE" /f (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /im AdskLicensingAgent.exe /f (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /f /im AdAppMgrSvc.exe (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /f /im AutodeskDesktopApp.exe (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /f /im AdskIdentityManager.exe (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /f /im "Autodesk Access UI Host.exe" (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /f /im "AdskAccessCore.exe" (со скрытым окном)
