Техническая информация
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /f /im WindowsServiceHost.exe
- '<SYSTEM32>\taskkill.exe' /f /im RMM.Agent.Console.exe
- '<SYSTEM32>\taskkill.exe' /f /im "WindowsServiceHost.exe"
- '<SYSTEM32>\taskkill.exe' /f /im svcguard.exe
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\windowspowershell\v1.0\powershell.exe
Изменения в файловой системе
Создает следующие файлы
- <Текущая директория>\windowsservicehost.exe
- %TEMP%\rmm_agent_crash.log
- <Текущая директория>\.installed
- %TEMP%\rmm_update_e7fd08a16ee144aba4c87018f2328302.zip
- %TEMP%\rmm_update_f6cd6ee3ac4640268f04b30d51a96ec2\windowsservicehost.exe
- %TEMP%\rmm_update_f6cd6ee3ac4640268f04b30d51a96ec2\rmm.agent.console.exe
- %TEMP%\rmm_update_f6cd6ee3ac4640268f04b30d51a96ec2\appsettings.json
- %TEMP%\rmm_update_f6cd6ee3ac4640268f04b30d51a96ec2\vcruntime140.dll
- <Текущая директория>\.updating
- %TEMP%\fb4746a7e95c4063bf3e857e5dbe29c5.ps1
- %TEMP%\rmm_update_18c86138c1bc4a3a952f497cfad6a137.bat
- nul
- <Текущая директория>.rollback\.installed
- <Текущая директория>.rollback\.updating
- <Текущая директория>.rollback\<Имя файла>.exe
- <Текущая директория>.rollback\windowsservicehost.exe
- <Текущая директория>\appsettings.json
- <Текущая директория>\rmm.agent.console.exe
- <Текущая директория>\vcruntime140.dll
- %TEMP%\rmm_update_12b31cdfab76416f9aebf6bb55ff6d7c.zip
- %TEMP%\rmm_update_2219e600f1e449cba679790247e0db32\windowsservicehost.exe
- %TEMP%\rmm_update_2219e600f1e449cba679790247e0db32\rmm.agent.console.exe
- %TEMP%\rmm_update_2219e600f1e449cba679790247e0db32\appsettings.json
- %TEMP%\rmm_update_2219e600f1e449cba679790247e0db32\vcruntime140.dll
- %TEMP%\f5bbb266673749c2b5662b338ea1676d.ps1
- %TEMP%\rmm_update_7f99bc710a7f4802b524b5247f2eea08.bat
- <Текущая директория>.rollback\appsettings.json
- <Текущая директория>.rollback\rmm.agent.console.exe
- <Текущая директория>.rollback\vcruntime140.dll
- %TEMP%\rmm_update_ac294ff999974271ac9e5dbb450c8aaf.zip
- %TEMP%\rmm_update_c88baf7eaa6e45d187867998ab1bf7ef\windowsservicehost.exe
- %TEMP%\rmm_update_c88baf7eaa6e45d187867998ab1bf7ef\rmm.agent.console.exe
- %TEMP%\rmm_update_c88baf7eaa6e45d187867998ab1bf7ef\appsettings.json
- %TEMP%\rmm_update_c88baf7eaa6e45d187867998ab1bf7ef\vcruntime140.dll
- %TEMP%\d14321767a0a4a169ca04a0c96957167.ps1
- %TEMP%\rmm_update_3f0b1ea70b214e2b952a241f885d82e7.bat
- %TEMP%\rmm_update_6904777058454ae8af7bf14c6c3ce9e7.zip
- %TEMP%\rmm_update_4a27b52a7fb046c69371592bd334b3a0\windowsservicehost.exe
- %TEMP%\rmm_update_4a27b52a7fb046c69371592bd334b3a0\rmm.agent.console.exe
- %TEMP%\rmm_update_4a27b52a7fb046c69371592bd334b3a0\appsettings.json
- %TEMP%\rmm_update_4a27b52a7fb046c69371592bd334b3a0\vcruntime140.dll
- %TEMP%\d02ff9b7614b49bbb433701f2c597d4e.ps1
- %TEMP%\rmm_update_247a0f897c854626b169ecee4339e021.bat
- %TEMP%\rmm_update_f7cb5aaeec38486ba6cc24fbecfc37f0.zip
- %TEMP%\rmm_update_e84512aa145648ed9e14046cd94f5a5f\windowsservicehost.exe
- %TEMP%\rmm_update_e84512aa145648ed9e14046cd94f5a5f\rmm.agent.console.exe
- %TEMP%\rmm_update_e84512aa145648ed9e14046cd94f5a5f\appsettings.json
- %TEMP%\rmm_update_e84512aa145648ed9e14046cd94f5a5f\vcruntime140.dll
- %TEMP%\6b00c21b437c4a03b5e2029382993515.ps1
Удаляет файлы, которые сам же создал
- %TEMP%\fb4746a7e95c4063bf3e857e5dbe29c5.ps1
- %TEMP%\f5bbb266673749c2b5662b338ea1676d.ps1
- %TEMP%\d14321767a0a4a169ca04a0c96957167.ps1
- %TEMP%\d02ff9b7614b49bbb433701f2c597d4e.ps1
- %TEMP%\6b00c21b437c4a03b5e2029382993515.ps1
Сетевая активность
Подключается к
- 'x1.#.lencr.org':80
TCP
Запросы HTTP GET
- http://x1.#.lencr.org/
Другие
- 'st####galaktika.com':443
- 'ap#.#pify.org':443
UDP
- DNS ASK st####galaktika.com
- DNS ASK x1.#.lencr.org
- DNS ASK ap#.#pify.org
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '<Текущая директория>\windowsservicehost.exe' --silent --force
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -File "%TEMP%\fb4746a7e95c4063bf3e857e5dbe29c5.ps1"
- '<Текущая директория>\windowsservicehost.exe' --healthcheck
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -File "%TEMP%\f5bbb266673749c2b5662b338ea1676d.ps1"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -File "%TEMP%\d14321767a0a4a169ca04a0c96957167.ps1"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -File "%TEMP%\d02ff9b7614b49bbb433701f2c597d4e.ps1"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -File "%TEMP%\6b00c21b437c4a03b5e2029382993515.ps1"
Запускает на исполнение
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths" /v "<Текущая директория>\" /t REG_DWORD /d 0 /f
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\rmm_update_18c86138c1bc4a3a952f497cfad6a137.bat" (со скрытым окном)
- '<SYSTEM32>\chcp.com' 65001
- '<SYSTEM32>\sc.exe' failure "WindowsServiceHost" reset= 0 actions= ""/""/""
- '<SYSTEM32>\sc.exe' stop "WindowsServiceHost"
- '<SYSTEM32>\ping.exe' -n 3 127.0.0.1
- '<SYSTEM32>\ping.exe' -n 2 127.0.0.1
- '<SYSTEM32>\xcopy.exe' "<Текущая директория>\*" "<Текущая директория>.rollback\" /E /Y /Q
- '<SYSTEM32>\xcopy.exe' "%TEMP%\rmm_update_f6cd6ee3ac4640268f04b30d51a96ec2\*" "<Текущая директория>" /E /Y /Q
- '<SYSTEM32>\xcopy.exe' "<Текущая директория>.rollback\*" "<Текущая директория>\" /E /Y /Q
- '<SYSTEM32>\sc.exe' failure "WindowsServiceHost" reset= 86400 actions= restart/1000/restart/2000/restart/5000
- '<SYSTEM32>\sc.exe' failureflag "WindowsServiceHost" 1
- '<SYSTEM32>\sc.exe' start "WindowsServiceHost"
- '<SYSTEM32>\icacls.exe' <Текущая директория> /reset /T /C /Q
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\rmm_update_7f99bc710a7f4802b524b5247f2eea08.bat" (со скрытым окном)
- '<SYSTEM32>\xcopy.exe' "%TEMP%\rmm_update_2219e600f1e449cba679790247e0db32\*" "<Текущая директория>" /E /Y /Q
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\rmm_update_3f0b1ea70b214e2b952a241f885d82e7.bat" (со скрытым окном)
- '<SYSTEM32>\xcopy.exe' "%TEMP%\rmm_update_c88baf7eaa6e45d187867998ab1bf7ef\*" "<Текущая директория>" /E /Y /Q
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\rmm_update_247a0f897c854626b169ecee4339e021.bat" (со скрытым окном)
- '<SYSTEM32>\xcopy.exe' "%TEMP%\rmm_update_4a27b52a7fb046c69371592bd334b3a0\*" "<Текущая директория>" /E /Y /Q
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\rmm_update_632be8648d1a430b95bfc7892b0277d9.bat" (со скрытым окном)
- '<SYSTEM32>\xcopy.exe' "%TEMP%\rmm_update_e84512aa145648ed9e14046cd94f5a5f\*" "<Текущая директория>" /E /Y /Q
