Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\RarSFX1\activation.exe'
- '%TEMP%\RarSFX1\KMS.exe' -port 1688 -ai 43200 -ri 43200 -ip 127.0.0.2
- '%TEMP%\RarSFX1\hid.exe' Aktivasyon.cmd
- '%TEMP%\RarSFX0\hid.exe' xx.cmd
- '%TEMP%\RarSFX0\x86.exe'
Запускает на исполнение:
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="KMSBLOCK" protocol=any dir=out remoteip=65.52.98.231,65.52.98.232,65.52.98.233 action=block
- '<SYSTEM32>\sc.exe' query
- '<SYSTEM32>\net1.exe' stop sppsvc
- '<SYSTEM32>\net1.exe' start sppsvc
- '<SYSTEM32>\find.exe' /i "KMS Server Emulator Service"
- '<SYSTEM32>\wbem\wmic.exe' path SoftwareLicensingProduct where (Description like '%KMSCLIENT%') get Name /format:list
- '<SYSTEM32>\findstr.exe' /i Office
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="KMS_Aktivasyon" dir=in program="%TEMP%\RarSFX1\KMS.exe" localport=1688 protocol=TCP action=allow remoteip=any
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="KMS_Aktivasyon" dir=out program="%TEMP%\RarSFX1\KMS.exe" localport=1688 protocol=TCP action=allow remoteip=any
- '<SYSTEM32>\wbem\wmic.exe' Path Win32_OperatingSystem Get Caption /format:LIST
- '<SYSTEM32>\wbem\wmic.exe' Path Win32_OperatingSystem Get CSDVersion /format:LIST
- '<SYSTEM32>\cmd.exe' /c xx.cmd
- '<SYSTEM32>\cmd.exe' /c Aktivasyon.cmd
- '<SYSTEM32>\wbem\wmic.exe' Path Win32_OperatingSystem Get Version /format:LIST
- '<SYSTEM32>\reg.exe' query "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion" /v DigitalProductId
- '<SYSTEM32>\net.exe' stop sppsvc
- '<SYSTEM32>\schtasks.exe' /create /tn "KMS Aktivasyon" /tr "%WINDIR%\KMS.exe" /SC ONSTART /RU SYSTEM /RL Highest /F
- '<SYSTEM32>\schtasks.exe' /create /tn "KMS Aktivasyon " /tr "%WINDIR%\KMS.exe" /SC DAILY /RU SYSTEM /RL Highest /F
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\RarSFX1\activation.exe
- %TEMP%\tmp1.tmp
- %TEMP%\RarSFX1\WinDivert.dll
- %TEMP%\RarSFX1\WinDivert.sys
- %TEMP%\tmp2.tmp
- <SYSTEM32>\wbem\AutoRecover\23BDE61F1F4FACE17E9B0C01F2A1FD9B.mof
- %WINDIR%\KMS.exe
- <SYSTEM32>\wbem\AutoRecover\C8463ECBE33BC240263A0B094E46D510.mof
- %TEMP%\tmp3.tmp
- %TEMP%\RarSFX1\WdfCoInstaller01009.dll
- %TEMP%\RarSFX0\x64.exe
- %TEMP%\RarSFX0\x86.exe
- %TEMP%\RarSFX0\xx.cmd
- %TEMP%\RarSFX0\hid.exe
- %TEMP%\RarSFX1\Aktivasyon.cmd
- %TEMP%\RarSFX1\KMS.exe
- %TEMP%\RarSFX1\KMSKiller.exe
- %TEMP%\RarSFX1\WinDivert.inf
- %TEMP%\RarSFX1\hid.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\RarSFX1\KMSKiller.exe
- %TEMP%\RarSFX1\KMS.exe
- %TEMP%\RarSFX1\hid.exe
- %TEMP%\RarSFX1\WinDivert.sys
- %TEMP%\RarSFX1\WinDivert.dll
- %TEMP%\RarSFX1\WdfCoInstaller01009.dll
- %TEMP%\RarSFX0\x64.exe
- %TEMP%\RarSFX0\hid.exe
- %TEMP%\RarSFX0\xx.cmd
- %TEMP%\RarSFX1\WinDivert.inf
- %TEMP%\RarSFX1\Aktivasyon.cmd
- %TEMP%\RarSFX0\x86.exe
Удаляет следующие файлы:
- %TEMP%\tmp3.tmp
- %TEMP%\tmp2.tmp
- %TEMP%\tmp1.tmp
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
