Техническая информация
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /f /im WindowsServiceHost.exe
- '<SYSTEM32>\taskkill.exe' /f /im RMM.Agent.Console.exe
- '<SYSTEM32>\taskkill.exe' /f /im "WindowsServiceHost.exe"
- '<SYSTEM32>\taskkill.exe' /f /im svcguard.exe
Изменения в файловой системе
Создает следующие файлы
- <Текущая директория>\windowsservicehost.exe
- %TEMP%\rmm_agent_crash.log
- <Текущая директория>\.installed
- %TEMP%\rmm_update_dff6eef12d6a400a92a8b7accf1e3b79.zip
- %TEMP%\rmm_update_d0ed4b99ead9469b8f109e17a238b7cf\windowsservicehost.exe
- %TEMP%\rmm_update_d0ed4b99ead9469b8f109e17a238b7cf\rmm.agent.console.exe
- %TEMP%\rmm_update_d0ed4b99ead9469b8f109e17a238b7cf\appsettings.json
- %TEMP%\rmm_update_d0ed4b99ead9469b8f109e17a238b7cf\vcruntime140.dll
- <Текущая директория>\.updating
- %TEMP%\8a6bd29da35643e9b44c701b51074a6a.ps1
- %TEMP%\rmm_update_e9aa26c511e24b51a8455daa13931943.bat
- nul
- <Текущая директория>.rollback\.installed
- <Текущая директория>.rollback\.updating
- <Текущая директория>.rollback\<Имя файла>.exe
- <Текущая директория>.rollback\windowsservicehost.exe
- <Текущая директория>\appsettings.json
- <Текущая директория>\rmm.agent.console.exe
- <Текущая директория>\vcruntime140.dll
- %TEMP%\rmm_update_dbaec6f53e494a7591b0a37a42ef6536.zip
- %TEMP%\rmm_update_0e875565e53a4efe9ccddd3c1b1ba349\windowsservicehost.exe
- %TEMP%\rmm_update_0e875565e53a4efe9ccddd3c1b1ba349\rmm.agent.console.exe
- %TEMP%\rmm_update_0e875565e53a4efe9ccddd3c1b1ba349\appsettings.json
- %TEMP%\rmm_update_0e875565e53a4efe9ccddd3c1b1ba349\vcruntime140.dll
- %TEMP%\ceb27535c222484bae42378f632ea9ce.ps1
- %TEMP%\rmm_update_0634296809b04911814aa26c435dea0d.bat
- <Текущая директория>.rollback\appsettings.json
- <Текущая директория>.rollback\rmm.agent.console.exe
- <Текущая директория>.rollback\vcruntime140.dll
- %TEMP%\rmm_update_5b19d4b62d6c4cc98126516f50488af6.zip
- %TEMP%\rmm_update_ed0e3f11efba403d8a2821a8282a09b0\windowsservicehost.exe
- %TEMP%\rmm_update_ed0e3f11efba403d8a2821a8282a09b0\rmm.agent.console.exe
- %TEMP%\rmm_update_ed0e3f11efba403d8a2821a8282a09b0\appsettings.json
- %TEMP%\rmm_update_ed0e3f11efba403d8a2821a8282a09b0\vcruntime140.dll
- %TEMP%\1ca5b49ba4b74f80bc0ae302e9223164.ps1
- %TEMP%\rmm_update_9aadb6f1754a48a7825fedcbe809df31.bat
- %TEMP%\rmm_update_affd23ec50ce417089e25b0ef04339c3.zip
- %TEMP%\rmm_update_4e8c2033b9da44c9b070e9ab9d668168\windowsservicehost.exe
- %TEMP%\rmm_update_4e8c2033b9da44c9b070e9ab9d668168\rmm.agent.console.exe
- %TEMP%\rmm_update_4e8c2033b9da44c9b070e9ab9d668168\appsettings.json
- %TEMP%\rmm_update_4e8c2033b9da44c9b070e9ab9d668168\vcruntime140.dll
- %TEMP%\69d02f9a40394e538816f16a8faf7649.ps1
- %TEMP%\rmm_update_e0f8b13737b94faa92b47b3aa06e36fc.bat
- %TEMP%\rmm_update_3c13e938fa0344eeb5aaf7103d515c41.zip
- %TEMP%\rmm_update_5a46015b8a8949859c259702bb9772f2\windowsservicehost.exe
- %TEMP%\rmm_update_5a46015b8a8949859c259702bb9772f2\rmm.agent.console.exe
- %TEMP%\rmm_update_5a46015b8a8949859c259702bb9772f2\appsettings.json
- %TEMP%\rmm_update_5a46015b8a8949859c259702bb9772f2\vcruntime140.dll
- %TEMP%\8ab2504fb05745739e5289c534c2c68b.ps1
- %TEMP%\rmm_update_96bea63a91db4e989b27e991543696f5.bat
- %TEMP%\rmm_update_1dfc86fd72114ab5b269cb19faaad86e.zip
- %TEMP%\rmm_update_e81eb38460b44661b089890bbe6f720b\windowsservicehost.exe
- %TEMP%\rmm_update_e81eb38460b44661b089890bbe6f720b\rmm.agent.console.exe
- %TEMP%\rmm_update_e81eb38460b44661b089890bbe6f720b\appsettings.json
- %TEMP%\rmm_update_e81eb38460b44661b089890bbe6f720b\vcruntime140.dll
- %TEMP%\eda47ba006144da1b070419043b3048f.ps1
- %TEMP%\rmm_update_7f8e1388fa654c6da3acebf7f88529fd.bat
- %TEMP%\rmm_update_b1fc1d063613484789507f26d3c2ed14.zip
- %TEMP%\rmm_update_33fdadf721ab47e5b961d6fd0af6b488\windowsservicehost.exe
- %TEMP%\rmm_update_33fdadf721ab47e5b961d6fd0af6b488\rmm.agent.console.exe
- %TEMP%\rmm_update_33fdadf721ab47e5b961d6fd0af6b488\appsettings.json
- %TEMP%\rmm_update_33fdadf721ab47e5b961d6fd0af6b488\vcruntime140.dll
- %TEMP%\337869acd426497e95dc7317fc9b9a3d.ps1
- %TEMP%\rmm_update_ca65e80bee544408a6cce77e891ae6ec.bat
- %TEMP%\rmm_update_a07905a0a05c4c0c9c7b3caa09709426.zip
- %TEMP%\rmm_update_ba2e2e77632d483c87bf03a68c3b7dbc\windowsservicehost.exe
- %TEMP%\rmm_update_ba2e2e77632d483c87bf03a68c3b7dbc\rmm.agent.console.exe
- %TEMP%\rmm_update_ba2e2e77632d483c87bf03a68c3b7dbc\appsettings.json
- %TEMP%\rmm_update_ba2e2e77632d483c87bf03a68c3b7dbc\vcruntime140.dll
- %TEMP%\013a77319cea47a18014c16e904497a3.ps1
- %TEMP%\rmm_update_749627190ca0420a8a5076860bb58821.bat
Удаляет файлы, которые сам же создал
- %TEMP%\8a6bd29da35643e9b44c701b51074a6a.ps1
- %TEMP%\ceb27535c222484bae42378f632ea9ce.ps1
- %TEMP%\1ca5b49ba4b74f80bc0ae302e9223164.ps1
- %TEMP%\69d02f9a40394e538816f16a8faf7649.ps1
- %TEMP%\8ab2504fb05745739e5289c534c2c68b.ps1
- %TEMP%\eda47ba006144da1b070419043b3048f.ps1
- %TEMP%\337869acd426497e95dc7317fc9b9a3d.ps1
- %TEMP%\013a77319cea47a18014c16e904497a3.ps1
Сетевая активность
Подключается к
- 'x1.#.lencr.org':80
TCP
Запросы HTTP GET
- http://x1.#.lencr.org/
Другие
- 'st####galaktika.com':443
- 'ap#.#pify.org':443
UDP
- DNS ASK st####galaktika.com
- DNS ASK x1.#.lencr.org
- DNS ASK ap#.#pify.org
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '<Текущая директория>\windowsservicehost.exe' --silent --force
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -File "%TEMP%\8a6bd29da35643e9b44c701b51074a6a.ps1"
- '<Текущая директория>\windowsservicehost.exe' --healthcheck
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -File "%TEMP%\ceb27535c222484bae42378f632ea9ce.ps1"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -File "%TEMP%\1ca5b49ba4b74f80bc0ae302e9223164.ps1"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -File "%TEMP%\69d02f9a40394e538816f16a8faf7649.ps1"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -File "%TEMP%\8ab2504fb05745739e5289c534c2c68b.ps1"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -File "%TEMP%\eda47ba006144da1b070419043b3048f.ps1"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -File "%TEMP%\337869acd426497e95dc7317fc9b9a3d.ps1"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -File "%TEMP%\013a77319cea47a18014c16e904497a3.ps1"
Запускает на исполнение
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths" /v "<Текущая директория>\" /t REG_DWORD /d 0 /f
- '<SYSTEM32>\icacls.exe' <Текущая директория> /reset /T /C /Q
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\rmm_update_e9aa26c511e24b51a8455daa13931943.bat" (со скрытым окном)
- '<SYSTEM32>\chcp.com' 65001
- '<SYSTEM32>\sc.exe' failure "WindowsServiceHost" reset= 0 actions= ""/""/""
- '<SYSTEM32>\sc.exe' stop "WindowsServiceHost"
- '<SYSTEM32>\ping.exe' -n 3 127.0.0.1
- '<SYSTEM32>\ping.exe' -n 2 127.0.0.1
- '<SYSTEM32>\xcopy.exe' "<Текущая директория>\*" "<Текущая директория>.rollback\" /E /Y /Q
- '<SYSTEM32>\xcopy.exe' "%TEMP%\rmm_update_d0ed4b99ead9469b8f109e17a238b7cf\*" "<Текущая директория>" /E /Y /Q
- '<SYSTEM32>\xcopy.exe' "<Текущая директория>.rollback\*" "<Текущая директория>\" /E /Y /Q
- '<SYSTEM32>\sc.exe' failure "WindowsServiceHost" reset= 86400 actions= restart/1000/restart/2000/restart/5000
- '<SYSTEM32>\sc.exe' failureflag "WindowsServiceHost" 1
- '<SYSTEM32>\sc.exe' start "WindowsServiceHost"
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\rmm_update_0634296809b04911814aa26c435dea0d.bat" (со скрытым окном)
- '<SYSTEM32>\xcopy.exe' "%TEMP%\rmm_update_0e875565e53a4efe9ccddd3c1b1ba349\*" "<Текущая директория>" /E /Y /Q
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\rmm_update_9aadb6f1754a48a7825fedcbe809df31.bat" (со скрытым окном)
- '<SYSTEM32>\xcopy.exe' "%TEMP%\rmm_update_ed0e3f11efba403d8a2821a8282a09b0\*" "<Текущая директория>" /E /Y /Q
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\rmm_update_e0f8b13737b94faa92b47b3aa06e36fc.bat" (со скрытым окном)
- '<SYSTEM32>\xcopy.exe' "%TEMP%\rmm_update_4e8c2033b9da44c9b070e9ab9d668168\*" "<Текущая директория>" /E /Y /Q
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\rmm_update_96bea63a91db4e989b27e991543696f5.bat" (со скрытым окном)
- '<SYSTEM32>\xcopy.exe' "%TEMP%\rmm_update_5a46015b8a8949859c259702bb9772f2\*" "<Текущая директория>" /E /Y /Q
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\rmm_update_7f8e1388fa654c6da3acebf7f88529fd.bat" (со скрытым окном)
- '<SYSTEM32>\xcopy.exe' "%TEMP%\rmm_update_e81eb38460b44661b089890bbe6f720b\*" "<Текущая директория>" /E /Y /Q
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\rmm_update_ca65e80bee544408a6cce77e891ae6ec.bat" (со скрытым окном)
- '<SYSTEM32>\xcopy.exe' "%TEMP%\rmm_update_33fdadf721ab47e5b961d6fd0af6b488\*" "<Текущая директория>" /E /Y /Q
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\rmm_update_749627190ca0420a8a5076860bb58821.bat" (со скрытым окном)
- '<SYSTEM32>\xcopy.exe' "%TEMP%\rmm_update_ba2e2e77632d483c87bf03a68c3b7dbc\*" "<Текущая директория>" /E /Y /Q
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -File "%TEMP%\83fffb63585a4f82a899ae517f92f096.ps1"
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\rmm_update_0c7e80f8950a4ef39aa8cab3d5eb6a7c.bat" (со скрытым окном)
