Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'RtkAudioService' = '%APPDATA%\Realtek\Audio\RtkAudioSvc.exe'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\rtkaudioservice
- <SYSTEM32>\tasks\rtkaudiocheck
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\realtek\audio\rtkaudiosvc.exe
- %LOCALAPPDATA%\microsoft\clr_v4.0\ngen_service.exe
- %ALLUSERSPROFILE%\realtek\audio\rtkngui64.exe
- %APPDATA%\microsoft\protect\securityhealthsystray.exe
- %LOCALAPPDATA%\microsoft\onedrive\onedriveupdater.exe
Сетевая активность
Подключается к
- '17#.20.48.1':3001
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -Command " $filter = Set-WmiInstance -Namespace root/subscription -Class __EventFilter -Arguments @{ Name = 'RtkAudioSvc_Filter'; ...
Запускает на исполнение
- '<SYSTEM32>\schtasks.exe' /Query /TN RtkAudioService
- '<SYSTEM32>\schtasks.exe' /Create /TN RtkAudioService /TR %APPDATA%\Realtek\Audio\RtkAudioSvc.exe /SC ONLOGON /RL HIGHEST /F
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -Command "Get-WmiObject -Namespace root/subscription -Class __EventFilter -Filter \"Name='RtkAudioSvc_Filter'\" | Select-Object -ExpandProperty Name"
- '<SYSTEM32>\wbem\wmiapsrv.exe'
- '<SYSTEM32>\schtasks.exe' /Query /TN RtkAudioCheck
- '<SYSTEM32>\schtasks.exe' /Create /TN RtkAudioCheck /TR %APPDATA%\Realtek\Audio\RtkAudioSvc.exe /SC MINUTE /MO 5 /RL HIGHEST /F
