Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'Rmtinfo' = '%HOMEPATH%\Downloads\Rmtinfo.exe -boot'
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v4.0.30319\applaunch.exe
Изменения в файловой системе
Создает следующие файлы
- %HOMEPATH%\downloads\rmtinfo.exe
- %LOCALAPPDATA%\microsoft\clr_v4.0_32\usagelogs\<Имя файла>.exe.log
- %LOCALAPPDATA%\microsoft\clr_v4.0_32\usagelogs\rmtinfo.exe.log
- %ALLUSERSPROFILE%\revcode-81acd21e\svchost.exe
Сетевая активность
UDP
- DNS ASK fa#####ker01.wm01.to
Другое
Создает и запускает на исполнение
- '%HOMEPATH%\downloads\rmtinfo.exe'
- '%ALLUSERSPROFILE%\revcode-81acd21e\svchost.exe' 4500
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c copy "<Полный путь к файлу>" "%HOMEPATH%\Downloads\Rmtinfo.exe" (со скрытым окном)
- '%WINDIR%\syswow64\explorer.exe' /c, "%HOMEPATH%\Downloads\Rmtinfo.exe" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\applaunch.exe'
- '%HOMEPATH%\downloads\rmtinfo.exe' (со скрытым окном)
