Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\AMIHardware] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\Services\AMIHardware] 'ImagePath' = '%ALLUSERSPROFILE%\AMD_Catalyst\amdclxx.exe'
Создает следующие сервисы
- 'AMIHardware' %ALLUSERSPROFILE%\AMD_Catalyst\amdclxx.exe
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /im rfusclient.exe /f
- '%WINDIR%\syswow64\taskkill.exe' /im rutserv.exe /f
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\$inst\2.tmp
- %TEMP%\$inst\temp_0.tmp
- %ALLUSERSPROFILE%\amd_catalyst\builder.exe
- %ALLUSERSPROFILE%\amd_catalyst\start1.exe
- %ALLUSERSPROFILE%\amd_catalyst\start.exe
- %ALLUSERSPROFILE%\amd_catalyst\winupdate.exe
- %ALLUSERSPROFILE%\amd_catalyst\config_set.reg
- %ALLUSERSPROFILE%\amd_catalyst\amdclxx.exe
- %ALLUSERSPROFILE%\amd_catalyst\catalystcc.exe
- %ALLUSERSPROFILE%\amd_catalyst\russian.lg
- %ALLUSERSPROFILE%\amd_catalyst\systeminstall.bat
- %ALLUSERSPROFILE%\amd_catalyst\systeminstall2.bat
- %ALLUSERSPROFILE%\amd_catalyst\vp8decoder.dll
- %ALLUSERSPROFILE%\amd_catalyst\vp8encoder.dll
- %ALLUSERSPROFILE%\amd_catalyst\winupdate1.exe
- %ALLUSERSPROFILE%\amd_catalyst\systemapi.dat
- nul
Присваивает атрибут 'скрытый' для следующих файлов
- %ALLUSERSPROFILE%\amd_catalyst\amdclxx.exe
- %ALLUSERSPROFILE%\amd_catalyst\builder.exe
- %ALLUSERSPROFILE%\amd_catalyst\catalystcc.exe
- %ALLUSERSPROFILE%\amd_catalyst\russian.lg
- %ALLUSERSPROFILE%\amd_catalyst\start.exe
- %ALLUSERSPROFILE%\amd_catalyst\start1.exe
- %ALLUSERSPROFILE%\amd_catalyst\systemapi.dat
- %ALLUSERSPROFILE%\amd_catalyst\systeminstall.bat
- %ALLUSERSPROFILE%\amd_catalyst\vp8decoder.dll
- %ALLUSERSPROFILE%\amd_catalyst\vp8encoder.dll
- %ALLUSERSPROFILE%\amd_catalyst\winupdate.exe
Удаляет файлы, которые сам же создал
- %TEMP%\$inst\temp_0.tmp
- %TEMP%\$inst\2.tmp
Сетевая активность
Подключается к
- 'rm##sys.ru':80
- 'rm#####ver.tektonit.ru':5655
TCP
Запросы HTTP GET
Запросы HTTP POST
- http://rm##sys.ru/utils/inet_id_notify.php
Другие
- 'rm#####ver.tektonit.ru':5655
UDP
- DNS ASK rm##sys.ru
- DNS ASK rm#####ver.tektonit.ru
Другое
Ищет следующие окна
- ClassName: 'MS_WINHELP' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
- ClassName: '' WindowName: ''
- ClassName: 'RegEdit_RegEdit' WindowName: ''
Создает и запускает на исполнение
- '%ALLUSERSPROFILE%\amd_catalyst\start1.exe'
- '%ALLUSERSPROFILE%\amd_catalyst\start.exe'
- '%ALLUSERSPROFILE%\amd_catalyst\winupdate.exe' -p6378348939439383473466372829938373634
- '%ALLUSERSPROFILE%\amd_catalyst\winupdate1.exe'
- '%ALLUSERSPROFILE%\amd_catalyst\amdclxx.exe' /silentinstall
- '%ALLUSERSPROFILE%\amd_catalyst\amdclxx.exe' /firewall
- '%ALLUSERSPROFILE%\amd_catalyst\amdclxx.exe' /start
- '%ALLUSERSPROFILE%\amd_catalyst\amdclxx.exe'
- '%ALLUSERSPROFILE%\amd_catalyst\catalystcc.exe'
- '%ALLUSERSPROFILE%\amd_catalyst\catalystcc.exe' /tray
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""%ALLUSERSPROFILE%\AMD_Catalyst\SystemInstall.bat" " (со скрытым окном)
- '%WINDIR%\syswow64\attrib.exe' +s +h "%ALLUSERSPROFILE%\AMD_Catalyst"
- '%WINDIR%\syswow64\sc.exe' stop RManService
- '%WINDIR%\syswow64\sc.exe' stop AMIHardware
- '%WINDIR%\syswow64\sc.exe' delete RManService
- '%WINDIR%\syswow64\sc.exe' delete AMIHardware
- '%WINDIR%\syswow64\ping.exe' -n 3 127.0.0.1
- '%WINDIR%\syswow64\reg.exe' delete "HKLM\SYSTEM\AMIHardware Core\IntelAPI" /f
- '%WINDIR%\syswow64\regedit.exe' /s "%ALLUSERSPROFILE%\Win64\config_set.reg"
- '%WINDIR%\syswow64\regedit.exe' /s "%ALLUSERSPROFILE%\AMD_Catalyst\config_set.reg"
- '%WINDIR%\syswow64\sc.exe' failure AMIHardware reset= 0 actions= restart/1000/restart/1000/restart/1000
- '%WINDIR%\syswow64\sc.exe' config AMIHardware obj= LocalSystem type= interact type= own
- '%WINDIR%\syswow64\attrib.exe' +s +h "%ALLUSERSPROFILE%\AMD_Catalyst\*.*"
