Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'RiotAgent' = '"%APPDATA%\OneDriveSetup.exe"'
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name=RiotClientServices_curr dir=in action=allow program=<Полный путь к файлу> protocol=any profile=any enable=yes
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name=RiotClientServices_curr_out dir=out action=allow program=<Полный путь к файлу> protocol=any profile=any enable=yes
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name=RiotClientServices_app dir=in action=allow program=%APPDATA%\RiotClientServices.exe protocol=any profile=any enable=yes
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name=RiotClientServices_app_out dir=out action=allow program=%APPDATA%\RiotClientServices.exe protocol=any profile=any enable=yes
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name=RiotClientServices_curr dir=in action=allow program=%APPDATA%\RiotClientServices.exe protocol=any profile=any enable=yes
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name=RiotClientServices_curr_out dir=out action=allow program=%APPDATA%\RiotClientServices.exe protocol=any profile=any enable=yes
Патчит код
в динамической библиотеке NTDLL
- Процесс aorgrmko.exe, модуль ntdll.dll
- Процесс riotclientservices.exe, модуль ntdll.dll
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\riotclientservices\agent.log
- %TEMP%\bait_document.pdf
- nul
- %APPDATA%\riotclientservices.exe
- %APPDATA%\onedrivesetup.exe
- %APPDATA%\version.dll
- %LOCALAPPDATA%\adobe\color\profiles\wscrgb.icc
- %LOCALAPPDATA%\adobe\color\profiles\wsrgb.icc
- %LOCALAPPDATA%\adobe\color\acecache11.lst
- %TEMP%\wuauhelp.dll
Самоперемещается
- из <Полный путь к файлу> в \:wd
Сетевая активность
Подключается к
- '16#.#54.243.99':80
TCP
Запросы HTTP GET
Запросы HTTP POST
- http://16#.#54.243.99/api/auto-register
UDP
- DNS ASK stun.l.google.com
- '16#.#54.243.99':3478
- 'stun.l.google.com':19302
- '16#.#54.243.99':46500
- '16#.#54.243.99':46943
- '16#.#54.243.99':34088
- '16#.#54.243.99':47293
Другое
Создает и запускает на исполнение
- '%APPDATA%\riotclientservices.exe'
Запускает на исполнение
- '<SYSTEM32>\rundll32.exe' url.dll,FileProtocolHandler %TEMP%\bait_document.pdf
- '<SYSTEM32>\netsh.exe' advfirewall firewall delete rule name=RiotClientServices_curr (со скрытым окном)
- '%ProgramFiles(x86)%\adobe\acrobat reader dc\reader\acrord32.exe' "%TEMP%\bait_document.pdf" (со скрытым окном)
- '<SYSTEM32>\netsh.exe' advfirewall firewall delete rule name=RiotClientServices_curr_out (со скрытым окном)
- '<SYSTEM32>\netsh.exe' advfirewall firewall delete rule name=RiotClientServices_app (со скрытым окном)
- '<SYSTEM32>\netsh.exe' advfirewall firewall delete rule name=RiotClientServices_app_out (со скрытым окном)
- '<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v RiotAgent /t REG_SZ /d \"%APPDATA%\OneDriveSetup.exe\" /f (со скрытым окном)
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name=RiotClientServices_curr dir=in action=allow program=<Полный путь к файлу> protocol=any profile=any enable=yes (со скрытым окном)
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name=RiotClientServices_curr_out dir=out action=allow program=<Полный путь к файлу> protocol=any profile=any enable=yes (со скрытым окном)
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name=RiotClientServices_app dir=in action=allow program=%APPDATA%\RiotClientServices.exe protocol=any profile=any enable=yes (со скрытым окном)
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name=RiotClientServices_app_out dir=out action=allow program=%APPDATA%\RiotClientServices.exe protocol=any profile=any enable=yes (со скрытым окном)
- '%APPDATA%\riotclientservices.exe' (со скрытым окном)
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name=RiotClientServices_curr dir=in action=allow program=%APPDATA%\RiotClientServices.exe protocol=any profile=any enable=yes (со скрытым окном)
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name=RiotClientServices_curr_out dir=out action=allow program=%APPDATA%\RiotClientServices.exe protocol=any profile=any enable=yes (со скрытым окном)
