Техническая информация
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /f /im WindowsServiceHost.exe
- '<SYSTEM32>\taskkill.exe' /f /im RMM.Agent.Console.exe
- '<SYSTEM32>\taskkill.exe' /f /im "WindowsServiceHost.exe"
- '<SYSTEM32>\taskkill.exe' /f /im svcguard.exe
Изменения в файловой системе
Создает следующие файлы
- <Текущая директория>\windowsservicehost.exe
- %TEMP%\rmm_agent_crash.log
- <Текущая директория>\.installed
- %TEMP%\rmm_update_5eafe84171e04d3081561c3e2faf190d.zip
- %TEMP%\rmm_update_dbed7cbe75dd4833986949d2792edf7a\windowsservicehost.exe
- %TEMP%\rmm_update_dbed7cbe75dd4833986949d2792edf7a\rmm.agent.console.exe
- %TEMP%\rmm_update_dbed7cbe75dd4833986949d2792edf7a\appsettings.json
- %TEMP%\rmm_update_dbed7cbe75dd4833986949d2792edf7a\vcruntime140.dll
- <Текущая директория>\.updating
- %TEMP%\d4b9b84d124c493abe57d51b1affe901.ps1
- %TEMP%\rmm_update_c2281a332ceb4617a390eb4a8d00ea8d.bat
- nul
- <Текущая директория>.rollback\.installed
- <Текущая директория>.rollback\.updating
- <Текущая директория>.rollback\<Имя файла>.exe
- <Текущая директория>.rollback\windowsservicehost.exe
- <Текущая директория>\appsettings.json
- <Текущая директория>\rmm.agent.console.exe
- <Текущая директория>\vcruntime140.dll
- %TEMP%\rmm_update_88ba9e9a5c7043b793070bd76f8f7451.zip
- %TEMP%\rmm_update_9ef936d1689547e9a1b61b9aa2ecfa0a\windowsservicehost.exe
- %TEMP%\rmm_update_9ef936d1689547e9a1b61b9aa2ecfa0a\rmm.agent.console.exe
- %TEMP%\rmm_update_9ef936d1689547e9a1b61b9aa2ecfa0a\appsettings.json
- %TEMP%\rmm_update_9ef936d1689547e9a1b61b9aa2ecfa0a\vcruntime140.dll
- %TEMP%\dba89335489d45a0b0eab2f288f9ba40.ps1
- %TEMP%\rmm_update_6c024d0074d144abb608da08b678c917.bat
- <Текущая директория>.rollback\appsettings.json
- <Текущая директория>.rollback\rmm.agent.console.exe
- <Текущая директория>.rollback\vcruntime140.dll
- %TEMP%\rmm_update_a9a6aa703b014e71aac91d5ee74aa9bf.zip
- %TEMP%\rmm_update_ec7daef616a44eb1bc2854ae9e702229\windowsservicehost.exe
- %TEMP%\rmm_update_ec7daef616a44eb1bc2854ae9e702229\rmm.agent.console.exe
- %TEMP%\rmm_update_ec7daef616a44eb1bc2854ae9e702229\appsettings.json
- %TEMP%\rmm_update_ec7daef616a44eb1bc2854ae9e702229\vcruntime140.dll
- %TEMP%\076968eac8ac4cf58adb27ed1f109f60.ps1
- %TEMP%\rmm_update_f4f75097402a4a55bb39ccd8f96aa2c0.bat
- %TEMP%\rmm_update_859f6b651b8f41dfb82563221879d15f.zip
- %TEMP%\rmm_update_00bc56ea31214463a4f80fdf971148ce\windowsservicehost.exe
- %TEMP%\rmm_update_00bc56ea31214463a4f80fdf971148ce\rmm.agent.console.exe
- %TEMP%\rmm_update_00bc56ea31214463a4f80fdf971148ce\appsettings.json
- %TEMP%\rmm_update_00bc56ea31214463a4f80fdf971148ce\vcruntime140.dll
- %TEMP%\b9d3fa4395154edb92e8045288a2447c.ps1
- %TEMP%\rmm_update_24b8f9b3e85c4684b434bc78e1966113.bat
- %TEMP%\rmm_update_69714f68390e48bcb3545c557b793ec9.zip
- %TEMP%\rmm_update_532dd5a9fa7a41cbbe25453debdd302c\windowsservicehost.exe
- %TEMP%\rmm_update_532dd5a9fa7a41cbbe25453debdd302c\rmm.agent.console.exe
- %TEMP%\rmm_update_532dd5a9fa7a41cbbe25453debdd302c\appsettings.json
- %TEMP%\rmm_update_532dd5a9fa7a41cbbe25453debdd302c\vcruntime140.dll
- %TEMP%\d761dfff23b044a48adc783471922f1b.ps1
- %TEMP%\rmm_update_ebbfe6ac9ad34e67bcb34b5817106369.bat
- %TEMP%\rmm_update_38448983f5584c63872e62cab0dc3d45.zip
- %TEMP%\rmm_update_be158a4d16b84826b1a11232ec32e368\windowsservicehost.exe
- %TEMP%\rmm_update_be158a4d16b84826b1a11232ec32e368\rmm.agent.console.exe
- %TEMP%\rmm_update_be158a4d16b84826b1a11232ec32e368\appsettings.json
- %TEMP%\rmm_update_be158a4d16b84826b1a11232ec32e368\vcruntime140.dll
- %TEMP%\c64c39461e5d4739beffd24ac0c924cb.ps1
- %TEMP%\rmm_update_1ef57b963b5647c8ae6610f5f7cd3ee6.bat
Удаляет файлы, которые сам же создал
- %TEMP%\d4b9b84d124c493abe57d51b1affe901.ps1
- %TEMP%\dba89335489d45a0b0eab2f288f9ba40.ps1
- %TEMP%\076968eac8ac4cf58adb27ed1f109f60.ps1
- %TEMP%\b9d3fa4395154edb92e8045288a2447c.ps1
- %TEMP%\d761dfff23b044a48adc783471922f1b.ps1
- %TEMP%\c64c39461e5d4739beffd24ac0c924cb.ps1
Сетевая активность
Подключается к
- 'x1.#.lencr.org':80
TCP
Запросы HTTP GET
- http://x1.#.lencr.org/
Другие
- 'st####galaktika.com':443
- 'ap#.#pify.org':443
UDP
- DNS ASK st####galaktika.com
- DNS ASK x1.#.lencr.org
- DNS ASK ap#.#pify.org
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '<Текущая директория>\windowsservicehost.exe' --silent --force
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -File "%TEMP%\d4b9b84d124c493abe57d51b1affe901.ps1"
- '<Текущая директория>\windowsservicehost.exe' --healthcheck
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -File "%TEMP%\dba89335489d45a0b0eab2f288f9ba40.ps1"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -File "%TEMP%\076968eac8ac4cf58adb27ed1f109f60.ps1"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -File "%TEMP%\b9d3fa4395154edb92e8045288a2447c.ps1"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -File "%TEMP%\d761dfff23b044a48adc783471922f1b.ps1"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -File "%TEMP%\c64c39461e5d4739beffd24ac0c924cb.ps1"
Запускает на исполнение
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths" /v "<Текущая директория>\" /t REG_DWORD /d 0 /f
- '<SYSTEM32>\icacls.exe' <Текущая директория> /reset /T /C /Q
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\rmm_update_c2281a332ceb4617a390eb4a8d00ea8d.bat" (со скрытым окном)
- '<SYSTEM32>\chcp.com' 65001
- '<SYSTEM32>\sc.exe' failure "WindowsServiceHost" reset= 0 actions= ""/""/""
- '<SYSTEM32>\sc.exe' stop "WindowsServiceHost"
- '<SYSTEM32>\ping.exe' -n 3 127.0.0.1
- '<SYSTEM32>\ping.exe' -n 2 127.0.0.1
- '<SYSTEM32>\xcopy.exe' "<Текущая директория>\*" "<Текущая директория>.rollback\" /E /Y /Q
- '<SYSTEM32>\xcopy.exe' "%TEMP%\rmm_update_dbed7cbe75dd4833986949d2792edf7a\*" "<Текущая директория>" /E /Y /Q
- '<SYSTEM32>\xcopy.exe' "<Текущая директория>.rollback\*" "<Текущая директория>\" /E /Y /Q
- '<SYSTEM32>\sc.exe' failure "WindowsServiceHost" reset= 86400 actions= restart/1000/restart/2000/restart/5000
- '<SYSTEM32>\sc.exe' failureflag "WindowsServiceHost" 1
- '<SYSTEM32>\sc.exe' start "WindowsServiceHost"
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\rmm_update_6c024d0074d144abb608da08b678c917.bat" (со скрытым окном)
- '<SYSTEM32>\xcopy.exe' "%TEMP%\rmm_update_9ef936d1689547e9a1b61b9aa2ecfa0a\*" "<Текущая директория>" /E /Y /Q
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\rmm_update_f4f75097402a4a55bb39ccd8f96aa2c0.bat" (со скрытым окном)
- '<SYSTEM32>\xcopy.exe' "%TEMP%\rmm_update_ec7daef616a44eb1bc2854ae9e702229\*" "<Текущая директория>" /E /Y /Q
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\rmm_update_24b8f9b3e85c4684b434bc78e1966113.bat" (со скрытым окном)
- '<SYSTEM32>\xcopy.exe' "%TEMP%\rmm_update_00bc56ea31214463a4f80fdf971148ce\*" "<Текущая директория>" /E /Y /Q
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\rmm_update_ebbfe6ac9ad34e67bcb34b5817106369.bat" (со скрытым окном)
- '<SYSTEM32>\xcopy.exe' "%TEMP%\rmm_update_532dd5a9fa7a41cbbe25453debdd302c\*" "<Текущая директория>" /E /Y /Q
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\rmm_update_1ef57b963b5647c8ae6610f5f7cd3ee6.bat" (со скрытым окном)
- '<SYSTEM32>\xcopy.exe' "%TEMP%\rmm_update_be158a4d16b84826b1a11232ec32e368\*" "<Текущая директория>" /E /Y /Q
