Техническая информация
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /f /im WindowsServiceHost.exe
- '<SYSTEM32>\taskkill.exe' /f /im RMM.Agent.Console.exe
- '<SYSTEM32>\taskkill.exe' /f /im "WindowsServiceHost.exe"
- '<SYSTEM32>\taskkill.exe' /f /im svcguard.exe
Изменения в файловой системе
Создает следующие файлы
- <Текущая директория>\windowsservicehost.exe
- %TEMP%\rmm_agent_crash.log
- <Текущая директория>\.installed
- %TEMP%\rmm_update_70ddcdc286414bc88f2e61a978fd2ee2.zip
- %TEMP%\rmm_update_2e280e36f7cf4558bbd02e0287342d7e\windowsservicehost.exe
- %TEMP%\rmm_update_2e280e36f7cf4558bbd02e0287342d7e\rmm.agent.console.exe
- %TEMP%\rmm_update_2e280e36f7cf4558bbd02e0287342d7e\appsettings.json
- %TEMP%\rmm_update_2e280e36f7cf4558bbd02e0287342d7e\vcruntime140.dll
- <Текущая директория>\.updating
- %TEMP%\d2d108eeb554493ab59ec4703ac9c155.ps1
- %TEMP%\rmm_update_dff71aeebb3d4ef4873c1fce66d04a95.bat
- nul
- <Текущая директория>.rollback\.installed
- <Текущая директория>.rollback\.updating
- <Текущая директория>.rollback\<Имя файла>.exe
- <Текущая директория>.rollback\windowsservicehost.exe
- <Текущая директория>\appsettings.json
- <Текущая директория>\rmm.agent.console.exe
- <Текущая директория>\vcruntime140.dll
- %TEMP%\rmm_update_ea6358957efb40269ccf75620c3eb75d.zip
- %TEMP%\rmm_update_fdf45e5c4b1043978ffefd697b63a0d9\windowsservicehost.exe
- %TEMP%\rmm_update_fdf45e5c4b1043978ffefd697b63a0d9\rmm.agent.console.exe
- %TEMP%\rmm_update_fdf45e5c4b1043978ffefd697b63a0d9\appsettings.json
- %TEMP%\rmm_update_fdf45e5c4b1043978ffefd697b63a0d9\vcruntime140.dll
- %TEMP%\9a3e555b85ea464db9404ffec9f73159.ps1
- %TEMP%\rmm_update_9134876e5edd4fe4b411eef803f65785.bat
- <Текущая директория>.rollback\appsettings.json
- <Текущая директория>.rollback\rmm.agent.console.exe
- <Текущая директория>.rollback\vcruntime140.dll
- %TEMP%\rmm_update_4e25cca3ec914263b6c97e4c4b6d1563.zip
- %TEMP%\rmm_update_92d440cb06d54257b6854ce2eab006c4\windowsservicehost.exe
- %TEMP%\rmm_update_92d440cb06d54257b6854ce2eab006c4\rmm.agent.console.exe
- %TEMP%\rmm_update_92d440cb06d54257b6854ce2eab006c4\appsettings.json
- %TEMP%\rmm_update_92d440cb06d54257b6854ce2eab006c4\vcruntime140.dll
- %TEMP%\2539f0dab4dd4df2bd9e71fbe3756506.ps1
- %TEMP%\rmm_update_e4491de4f30c4870b31a9c25a563bece.bat
- %TEMP%\rmm_update_9e59a0cd04f34c399248036f043a0305.zip
- %TEMP%\rmm_update_a206aa6ca0a4411ca9fe4fedaba45150\windowsservicehost.exe
- %TEMP%\rmm_update_a206aa6ca0a4411ca9fe4fedaba45150\rmm.agent.console.exe
- %TEMP%\rmm_update_a206aa6ca0a4411ca9fe4fedaba45150\appsettings.json
- %TEMP%\rmm_update_a206aa6ca0a4411ca9fe4fedaba45150\vcruntime140.dll
- %TEMP%\339b218987ab4d488a25e0b9be28f375.ps1
- %TEMP%\rmm_update_222be6fec8bd48868f934a4efd9b5c15.bat
- %TEMP%\rmm_update_2a7e6d45c05943a8a043d06e951b0024.zip
- %TEMP%\rmm_update_88f03f674ee34b8b8aa48fc58bca5a74\windowsservicehost.exe
- %TEMP%\rmm_update_88f03f674ee34b8b8aa48fc58bca5a74\rmm.agent.console.exe
- %TEMP%\rmm_update_88f03f674ee34b8b8aa48fc58bca5a74\appsettings.json
- %TEMP%\rmm_update_88f03f674ee34b8b8aa48fc58bca5a74\vcruntime140.dll
- %TEMP%\f786e466908c465abc18d52c4d01e82a.ps1
- %TEMP%\rmm_update_5b9e154736f24efeac7be57eec404bf6.bat
- %TEMP%\rmm_update_155c49fe92b344ad9b1effcf45337eeb.zip
- %TEMP%\rmm_update_ebe165f844b241d299985475b3bce16f\windowsservicehost.exe
- %TEMP%\rmm_update_ebe165f844b241d299985475b3bce16f\rmm.agent.console.exe
- %TEMP%\rmm_update_ebe165f844b241d299985475b3bce16f\appsettings.json
- %TEMP%\rmm_update_ebe165f844b241d299985475b3bce16f\vcruntime140.dll
- %TEMP%\14e8c3de65504edba4d4e4129a28fb18.ps1
Удаляет файлы, которые сам же создал
- %TEMP%\d2d108eeb554493ab59ec4703ac9c155.ps1
- %TEMP%\9a3e555b85ea464db9404ffec9f73159.ps1
- %TEMP%\2539f0dab4dd4df2bd9e71fbe3756506.ps1
- %TEMP%\339b218987ab4d488a25e0b9be28f375.ps1
- %TEMP%\f786e466908c465abc18d52c4d01e82a.ps1
- %TEMP%\14e8c3de65504edba4d4e4129a28fb18.ps1
Сетевая активность
Подключается к
- 'x1.#.lencr.org':80
TCP
Запросы HTTP GET
- http://x1.#.lencr.org/
Другие
- 'st####galaktika.com':443
- 'ap#.#pify.org':443
UDP
- DNS ASK st####galaktika.com
- DNS ASK x1.#.lencr.org
- DNS ASK ap#.#pify.org
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '<Текущая директория>\windowsservicehost.exe' --silent --force
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -File "%TEMP%\d2d108eeb554493ab59ec4703ac9c155.ps1"
- '<Текущая директория>\windowsservicehost.exe' --healthcheck
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -File "%TEMP%\9a3e555b85ea464db9404ffec9f73159.ps1"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -File "%TEMP%\2539f0dab4dd4df2bd9e71fbe3756506.ps1"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -File "%TEMP%\339b218987ab4d488a25e0b9be28f375.ps1"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -File "%TEMP%\f786e466908c465abc18d52c4d01e82a.ps1"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -File "%TEMP%\14e8c3de65504edba4d4e4129a28fb18.ps1"
Запускает на исполнение
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths" /v "<Текущая директория>\" /t REG_DWORD /d 0 /f
- '<SYSTEM32>\icacls.exe' <Текущая директория> /reset /T /C /Q
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\rmm_update_dff71aeebb3d4ef4873c1fce66d04a95.bat" (со скрытым окном)
- '<SYSTEM32>\chcp.com' 65001
- '<SYSTEM32>\sc.exe' failure "WindowsServiceHost" reset= 0 actions= ""/""/""
- '<SYSTEM32>\sc.exe' stop "WindowsServiceHost"
- '<SYSTEM32>\ping.exe' -n 3 127.0.0.1
- '<SYSTEM32>\ping.exe' -n 2 127.0.0.1
- '<SYSTEM32>\xcopy.exe' "<Текущая директория>\*" "<Текущая директория>.rollback\" /E /Y /Q
- '<SYSTEM32>\xcopy.exe' "%TEMP%\rmm_update_2e280e36f7cf4558bbd02e0287342d7e\*" "<Текущая директория>" /E /Y /Q
- '<SYSTEM32>\xcopy.exe' "<Текущая директория>.rollback\*" "<Текущая директория>\" /E /Y /Q
- '<SYSTEM32>\sc.exe' failure "WindowsServiceHost" reset= 86400 actions= restart/1000/restart/2000/restart/5000
- '<SYSTEM32>\sc.exe' failureflag "WindowsServiceHost" 1
- '<SYSTEM32>\sc.exe' start "WindowsServiceHost"
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\rmm_update_9134876e5edd4fe4b411eef803f65785.bat" (со скрытым окном)
- '<SYSTEM32>\xcopy.exe' "%TEMP%\rmm_update_fdf45e5c4b1043978ffefd697b63a0d9\*" "<Текущая директория>" /E /Y /Q
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\rmm_update_e4491de4f30c4870b31a9c25a563bece.bat" (со скрытым окном)
- '<SYSTEM32>\xcopy.exe' "%TEMP%\rmm_update_92d440cb06d54257b6854ce2eab006c4\*" "<Текущая директория>" /E /Y /Q
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\rmm_update_222be6fec8bd48868f934a4efd9b5c15.bat" (со скрытым окном)
- '<SYSTEM32>\xcopy.exe' "%TEMP%\rmm_update_a206aa6ca0a4411ca9fe4fedaba45150\*" "<Текущая директория>" /E /Y /Q
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\rmm_update_5b9e154736f24efeac7be57eec404bf6.bat" (со скрытым окном)
- '<SYSTEM32>\xcopy.exe' "%TEMP%\rmm_update_88f03f674ee34b8b8aa48fc58bca5a74\*" "<Текущая директория>" /E /Y /Q
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\rmm_update_5f6ab2ba0b324dba9526eb1d8c3f7e6f.bat" (со скрытым окном)
- '<SYSTEM32>\xcopy.exe' "%TEMP%\rmm_update_ebe165f844b241d299985475b3bce16f\*" "<Текущая директория>" /E /Y /Q
