Техническая информация
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /f /im WindowsServiceHost.exe
- '<SYSTEM32>\taskkill.exe' /f /im RMM.Agent.Console.exe
- '<SYSTEM32>\taskkill.exe' /f /im "WindowsServiceHost.exe"
- '<SYSTEM32>\taskkill.exe' /f /im svcguard.exe
Изменения в файловой системе
Создает следующие файлы
- <Текущая директория>\windowsservicehost.exe
- %TEMP%\rmm_agent_crash.log
- <Текущая директория>\.installed
- %TEMP%\rmm_update_a5bb32aaf85d41c2b9231b89dc04337f.zip
- %TEMP%\rmm_update_3ae8b99ad77441a99ef356af1879cf9a\windowsservicehost.exe
- %TEMP%\rmm_update_3ae8b99ad77441a99ef356af1879cf9a\rmm.agent.console.exe
- %TEMP%\rmm_update_3ae8b99ad77441a99ef356af1879cf9a\appsettings.json
- %TEMP%\rmm_update_3ae8b99ad77441a99ef356af1879cf9a\vcruntime140.dll
- <Текущая директория>\.updating
- %TEMP%\adae3e44566845c3941b1b47e734366a.ps1
- %TEMP%\rmm_update_777b5167a1e04679b906452b396ae4c2.bat
- nul
- <Текущая директория>.rollback\.installed
- <Текущая директория>.rollback\.updating
- <Текущая директория>.rollback\<Имя файла>.exe
- <Текущая директория>.rollback\windowsservicehost.exe
- <Текущая директория>\appsettings.json
- <Текущая директория>\rmm.agent.console.exe
- <Текущая директория>\vcruntime140.dll
- %TEMP%\rmm_update_85d9b0730bde4dc9a953f805cc8d2584.zip
- %TEMP%\rmm_update_28b04c6842a247f2bbae7d4d3df3d332\windowsservicehost.exe
- %TEMP%\rmm_update_28b04c6842a247f2bbae7d4d3df3d332\rmm.agent.console.exe
- %TEMP%\rmm_update_28b04c6842a247f2bbae7d4d3df3d332\appsettings.json
- %TEMP%\rmm_update_28b04c6842a247f2bbae7d4d3df3d332\vcruntime140.dll
- %TEMP%\9b7c3f09c0334bb087aec2dacd66c42d.ps1
- %TEMP%\rmm_update_aad360afc2ff431c92c80f022fc583ef.bat
- <Текущая директория>.rollback\appsettings.json
- <Текущая директория>.rollback\rmm.agent.console.exe
- <Текущая директория>.rollback\vcruntime140.dll
- %TEMP%\rmm_update_9aa6a10c44724c73b9b78e4683058bfc.zip
- %TEMP%\rmm_update_68a1c21e13a44831aadd25722e7334d3\windowsservicehost.exe
- %TEMP%\rmm_update_68a1c21e13a44831aadd25722e7334d3\rmm.agent.console.exe
- %TEMP%\rmm_update_68a1c21e13a44831aadd25722e7334d3\appsettings.json
- %TEMP%\rmm_update_68a1c21e13a44831aadd25722e7334d3\vcruntime140.dll
- %TEMP%\45a771f3d45e4406a8762404fc9fd62e.ps1
- %TEMP%\rmm_update_31ef2a8215d64bb9aab7c25fb2b5781b.bat
- %TEMP%\rmm_update_c88c5120546f4fdba02ebb07e4cb95de.zip
- %TEMP%\rmm_update_5842ff0fe0704163b910ce5a038c8875\windowsservicehost.exe
- %TEMP%\rmm_update_5842ff0fe0704163b910ce5a038c8875\rmm.agent.console.exe
- %TEMP%\rmm_update_5842ff0fe0704163b910ce5a038c8875\appsettings.json
- %TEMP%\rmm_update_5842ff0fe0704163b910ce5a038c8875\vcruntime140.dll
- %TEMP%\ad46d57f1b8e44e6a09a01e5a520aaac.ps1
- %TEMP%\rmm_update_32f71830da9b4dfcaaae560fccc0b363.bat
- %TEMP%\rmm_update_c89c2a8bf7fc45b2834ef715df4ee5a7.zip
- %TEMP%\rmm_update_7eb9deed869c467a80bea1cb10b80e5d\windowsservicehost.exe
- %TEMP%\rmm_update_7eb9deed869c467a80bea1cb10b80e5d\rmm.agent.console.exe
- %TEMP%\rmm_update_7eb9deed869c467a80bea1cb10b80e5d\appsettings.json
- %TEMP%\rmm_update_7eb9deed869c467a80bea1cb10b80e5d\vcruntime140.dll
- %TEMP%\9f5dc9e5c70740b6b4bed48954427e8f.ps1
Удаляет файлы, которые сам же создал
- %TEMP%\adae3e44566845c3941b1b47e734366a.ps1
- %TEMP%\9b7c3f09c0334bb087aec2dacd66c42d.ps1
- %TEMP%\45a771f3d45e4406a8762404fc9fd62e.ps1
- %TEMP%\ad46d57f1b8e44e6a09a01e5a520aaac.ps1
- %TEMP%\9f5dc9e5c70740b6b4bed48954427e8f.ps1
Сетевая активность
Подключается к
- 'x1.#.lencr.org':80
TCP
Запросы HTTP GET
- http://x1.#.lencr.org/
Другие
- 'st####galaktika.com':443
- 'ap#.#pify.org':443
UDP
- DNS ASK st####galaktika.com
- DNS ASK x1.#.lencr.org
- DNS ASK ap#.#pify.org
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '<Текущая директория>\windowsservicehost.exe' --silent --force
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -File "%TEMP%\adae3e44566845c3941b1b47e734366a.ps1"
- '<Текущая директория>\windowsservicehost.exe' --healthcheck
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -File "%TEMP%\9b7c3f09c0334bb087aec2dacd66c42d.ps1"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -File "%TEMP%\45a771f3d45e4406a8762404fc9fd62e.ps1"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -File "%TEMP%\ad46d57f1b8e44e6a09a01e5a520aaac.ps1"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -File "%TEMP%\9f5dc9e5c70740b6b4bed48954427e8f.ps1"
Запускает на исполнение
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths" /v "<Текущая директория>\" /t REG_DWORD /d 0 /f
- '<SYSTEM32>\icacls.exe' <Текущая директория> /reset /T /C /Q
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\rmm_update_777b5167a1e04679b906452b396ae4c2.bat" (со скрытым окном)
- '<SYSTEM32>\chcp.com' 65001
- '<SYSTEM32>\sc.exe' failure "WindowsServiceHost" reset= 0 actions= ""/""/""
- '<SYSTEM32>\sc.exe' stop "WindowsServiceHost"
- '<SYSTEM32>\ping.exe' -n 3 127.0.0.1
- '<SYSTEM32>\ping.exe' -n 2 127.0.0.1
- '<SYSTEM32>\xcopy.exe' "<Текущая директория>\*" "<Текущая директория>.rollback\" /E /Y /Q
- '<SYSTEM32>\xcopy.exe' "%TEMP%\rmm_update_3ae8b99ad77441a99ef356af1879cf9a\*" "<Текущая директория>" /E /Y /Q
- '<SYSTEM32>\xcopy.exe' "<Текущая директория>.rollback\*" "<Текущая директория>\" /E /Y /Q
- '<SYSTEM32>\sc.exe' failure "WindowsServiceHost" reset= 86400 actions= restart/1000/restart/2000/restart/5000
- '<SYSTEM32>\sc.exe' failureflag "WindowsServiceHost" 1
- '<SYSTEM32>\sc.exe' start "WindowsServiceHost"
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\rmm_update_aad360afc2ff431c92c80f022fc583ef.bat" (со скрытым окном)
- '<SYSTEM32>\xcopy.exe' "%TEMP%\rmm_update_28b04c6842a247f2bbae7d4d3df3d332\*" "<Текущая директория>" /E /Y /Q
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\rmm_update_31ef2a8215d64bb9aab7c25fb2b5781b.bat" (со скрытым окном)
- '<SYSTEM32>\xcopy.exe' "%TEMP%\rmm_update_68a1c21e13a44831aadd25722e7334d3\*" "<Текущая директория>" /E /Y /Q
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\rmm_update_32f71830da9b4dfcaaae560fccc0b363.bat" (со скрытым окном)
- '<SYSTEM32>\xcopy.exe' "%TEMP%\rmm_update_5842ff0fe0704163b910ce5a038c8875\*" "<Текущая директория>" /E /Y /Q
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\rmm_update_e3e91b10100f4ea5b7325fcd8856358a.bat" (со скрытым окном)
- '<SYSTEM32>\xcopy.exe' "%TEMP%\rmm_update_7eb9deed869c467a80bea1cb10b80e5d\*" "<Текущая директория>" /E /Y /Q
