Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\uvnc_service] 'Start' = '00000002'
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] 'C:\HSM-VNC\vncviewer.exe' = 'C:\HSM-VNC\vncviewer.exe:*:Enabled:vncviewer.exe'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] 'C:\HSM-VNC\winvnc.exe' = 'C:\HSM-VNC\winvnc.exe:*:Enabled:winvnc.exe'
Создает и запускает на исполнение:
- '%TEMP%\RarSFX0\Sleep.exe' 5
- 'C:\HSM-VNC\winvnc.exe' -install
- 'C:\HSM-VNC\winvnc.exe' -service_run
- 'C:\HSM-VNC\winvnc.exe' -service
- '%TEMP%\is-5H2AJ.tmp\uvnc.tmp' /SL5="$10106,1788859,346624,%TEMP%\RarSFX0\uvnc.exe" /dir="c:\HSM-VNC" /no restart /verysilent
- '%TEMP%\RarSFX0\uvnc.exe' /dir="c:\HSM-VNC" /no restart /verysilent
- '%TEMP%\RarSFX0\vncpwd.exe' /v:teku /g /y
- '%TEMP%\is-R6108.tmp\check_install.exe'
Запускает на исполнение:
- '<SYSTEM32>\netsh.exe' firewall add allowedprogram "c:\HSM-VNC\winvnc.exe" "winvnc.exe" ENABLE ALL
- '<SYSTEM32>\netsh.exe' firewall add allowedprogram "c:\HSM-VNC\vncviewer.exe" "vncviewer.exe" ENABLE ALL
- '<SYSTEM32>\net1.exe' start "uvnc_service"
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\RarSFX0\install.bat" "
- '<SYSTEM32>\netsh.exe' firewall add portopening TCP 5900 vnc5900
- '<SYSTEM32>\netsh.exe' firewall add portopening TCP 5800 vnc5800
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами:
- [<HKCU>\Software\ORL\WinVNC3]
Изменения в файловой системе:
Создает следующие файлы:
- C:\HSM-VNC\driver\is-RTE8M.tmp
- C:\HSM-VNC\driver\is-6GVHM.tmp
- C:\HSM-VNC\driver\is-A2GFI.tmp
- C:\HSM-VNC\driver\is-MBB0I.tmp
- C:\HSM-VNC\driver\driver\is-OANF6.tmp
- C:\HSM-VNC\driver\driver\is-NQFL2.tmp
- C:\HSM-VNC\driver\is-AO2VT.tmp
- C:\HSM-VNC\driver\is-DVTD8.tmp
- C:\HSM-VNC\is-8FKJO.tmp
- C:\HSM-VNC\is-FDAIT.tmp
- C:\HSM-VNC\is-H7BM8.tmp
- C:\HSM-VNC\is-ET2RV.tmp
- C:\HSM-VNC\is-1PDBQ.tmp
- C:\HSM-VNC\is-BPRE7.tmp
- C:\HSM-VNC\is-UMINU.tmp
- C:\HSM-VNC\is-1U6VC.tmp
- %ALLUSERSPROFILE%\Start Menu\Programs\UltraVNC\UltraVNC Server\Remove WinVNC Service.lnk
- %ALLUSERSPROFILE%\Start Menu\Programs\UltraVNC\UltraVNC Server\Start WinVNC Service.lnk
- %ALLUSERSPROFILE%\Start Menu\Programs\UltraVNC\UltraVNC Viewer\Show UltraVNC Viewer Help.lnk
- %ALLUSERSPROFILE%\Start Menu\Programs\UltraVNC\UltraVNC Server\Install WinVNC Service.lnk
- C:\HSM-VNC\unins000.dat
- C:\HSM-VNC\ultravnc.ini
- %ALLUSERSPROFILE%\Start Menu\Programs\UltraVNC\UltraVNC Server\Stop WinVNC Service.lnk
- %ALLUSERSPROFILE%\Start Menu\Programs\UltraVNC\Edit Settings.lnk
- C:\HSM-VNC\is-UA5NV.tmp
- C:\HSM-VNC\is-5JJK2.tmp
- C:\HSM-VNC\driver\driver\is-6DTVN.tmp
- C:\HSM-VNC\driver\driver\is-RRON7.tmp
- %ALLUSERSPROFILE%\Start Menu\Programs\UltraVNC\UltraVNC Viewer\Run UltraVNC Viewer (Listen Mode).lnk
- %ALLUSERSPROFILE%\Start Menu\Programs\UltraVNC\UltraVNC Viewer\Run UltraVNC Viewer (Listen Mode Encrypt)).lnk
- %ALLUSERSPROFILE%\Start Menu\Programs\UltraVNC\UltraVNC Viewer.lnk
- %ALLUSERSPROFILE%\Start Menu\Programs\UltraVNC\UltraVNC Server.lnk
- C:\HSM-VNC\is-HB5BV.tmp
- %TEMP%\is-R6108.tmp\isxdl.dll
- %TEMP%\is-R6108.tmp\UltraVNC.ico
- %TEMP%\is-R6108.tmp\_isetup\_RegDLL.tmp
- %TEMP%\is-R6108.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-R6108.tmp\license.txt
- %TEMP%\is-R6108.tmp\uninstall.bat
- %TEMP%\is-R6108.tmp\WizModernSmallImage-IS.bmp
- %TEMP%\is-R6108.tmp\SCHook.dll
- %TEMP%\RarSFX0\uvnc.exe
- %TEMP%\RarSFX0\Vncpwd.dll
- %TEMP%\RarSFX0\install.bat
- %TEMP%\RarSFX0\ultravnc.ini
- C:\hsm-vnc.tst
- %TEMP%\is-5H2AJ.tmp\uvnc.tmp
- %TEMP%\RarSFX0\vncpwd.exe
- %TEMP%\RarSFX0\Sleep.exe
- C:\HSM-VNC\is-HJ9BE.tmp
- C:\HSM-VNC\is-BE633.tmp
- C:\HSM-VNC\is-V4HDO.tmp
- %TEMP%\is-R6108.tmp\check_install.exe
- C:\HSM-VNC\is-NLECI.tmp
- C:\HSM-VNC\is-U1QFO.tmp
- C:\HSM-VNC\is-SLN9L.tmp
- C:\HSM-VNC\is-OOSRP.tmp
- %TEMP%\is-R6108.tmp\setupdrv.exe
- %TEMP%\is-R6108.tmp\install_silent.bat
- %TEMP%\is-R6108.tmp\uninstall_silent.bat
- %TEMP%\is-R6108.tmp\install.bat
- %TEMP%\is-R6108.tmp\mv2.inf
- %TEMP%\is-R6108.tmp\mv2.sys
- %TEMP%\is-R6108.tmp\mv2.cat
- %TEMP%\is-R6108.tmp\mv2.dll
Удаляет следующие файлы:
- %TEMP%\is-R6108.tmp\_isetup\_RegDLL.tmp
- %TEMP%\is-R6108.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-5H2AJ.tmp\uvnc.tmp
- %TEMP%\is-R6108.tmp\uninstall.bat
- %TEMP%\is-R6108.tmp\uninstall_silent.bat
- %TEMP%\is-R6108.tmp\WizModernSmallImage-IS.bmp
- %TEMP%\RarSFX0\uvnc.exe
- %TEMP%\RarSFX0\Vncpwd.dll
- %TEMP%\RarSFX0\vncpwd.exe
- %TEMP%\RarSFX0\install.bat
- %TEMP%\RarSFX0\Sleep.exe
- %TEMP%\RarSFX0\ultravnc.ini
- %TEMP%\is-R6108.tmp\UltraVNC.ico
- %TEMP%\is-R6108.tmp\install_silent.bat
- %TEMP%\is-R6108.tmp\isxdl.dll
- %TEMP%\is-R6108.tmp\license.txt
- C:\hsm-vnc.tst
- %TEMP%\is-R6108.tmp\check_install.exe
- %TEMP%\is-R6108.tmp\install.bat
- %TEMP%\is-R6108.tmp\mv2.sys
- %TEMP%\is-R6108.tmp\SCHook.dll
- %TEMP%\is-R6108.tmp\setupdrv.exe
- %TEMP%\is-R6108.tmp\mv2.cat
- %TEMP%\is-R6108.tmp\mv2.dll
- %TEMP%\is-R6108.tmp\mv2.inf
Перемещает следующие файлы:
- C:\HSM-VNC\driver\is-RTE8M.tmp в C:\HSM-VNC\driver\install.bat
- C:\HSM-VNC\driver\is-6GVHM.tmp в C:\HSM-VNC\driver\setupdrv.exe
- C:\HSM-VNC\driver\is-AO2VT.tmp в C:\HSM-VNC\driver\install_silent.bat
- C:\HSM-VNC\driver\is-MBB0I.tmp в C:\HSM-VNC\driver\uninstall_silent.bat
- C:\HSM-VNC\is-1PDBQ.tmp в C:\HSM-VNC\vncviewer.exe
- C:\HSM-VNC\is-BPRE7.tmp в C:\HSM-VNC\SCHook.dll
- C:\HSM-VNC\driver\is-A2GFI.tmp в C:\HSM-VNC\driver\license.txt
- C:\HSM-VNC\driver\driver\is-RRON7.tmp в C:\HSM-VNC\driver\driver\mv2.inf
- C:\HSM-VNC\is-UA5NV.tmp в C:\HSM-VNC\SecureVNCPlugin.dsm
- C:\HSM-VNC\is-5JJK2.tmp в C:\HSM-VNC\uvnc_settings.exe
- C:\HSM-VNC\driver\driver\is-6DTVN.tmp в C:\HSM-VNC\driver\driver\mv2.sys
- C:\HSM-VNC\driver\is-DVTD8.tmp в C:\HSM-VNC\driver\uninstall.bat
- C:\HSM-VNC\driver\driver\is-OANF6.tmp в C:\HSM-VNC\driver\driver\mv2.cat
- C:\HSM-VNC\driver\driver\is-NQFL2.tmp в C:\HSM-VNC\driver\driver\mv2.dll
- C:\HSM-VNC\is-OOSRP.tmp в C:\HSM-VNC\Readme.txt
- C:\HSM-VNC\is-NLECI.tmp в C:\HSM-VNC\winvnc.exe
- C:\HSM-VNC\is-U1QFO.tmp в C:\HSM-VNC\logmessages.dll
- C:\HSM-VNC\is-SLN9L.tmp в C:\HSM-VNC\Licence.txt
- C:\HSM-VNC\is-V4HDO.tmp в C:\HSM-VNC\unins000.exe
- C:\HSM-VNC\is-HJ9BE.tmp в C:\HSM-VNC\check_install.exe
- C:\HSM-VNC\is-BE633.tmp в C:\HSM-VNC\Whatsnew.txt
- C:\HSM-VNC\is-FDAIT.tmp в C:\HSM-VNC\ldapauth.dll
- C:\HSM-VNC\is-UMINU.tmp в C:\HSM-VNC\authSSP.dll
- C:\HSM-VNC\is-1U6VC.tmp в C:\HSM-VNC\MSLogonACL.exe
- C:\HSM-VNC\is-8FKJO.tmp в C:\HSM-VNC\workgrpdomnt4.dll
- C:\HSM-VNC\is-HB5BV.tmp в C:\HSM-VNC\vnchooks.dll
- C:\HSM-VNC\is-H7BM8.tmp в C:\HSM-VNC\logging.dll
- C:\HSM-VNC\is-ET2RV.tmp в C:\HSM-VNC\authadmin.dll
Сетевая активность:
Подключается к:
- 'localhost':5900
- 'sc.#vnc.com':80
TCP:
Запросы HTTP GET:
- sc.#vnc.com/driver/xp/driver/mv2.cat
- sc.#vnc.com/driver/xp/install_silent.bat
- sc.#vnc.com/driver/xp/driver/mv2.dll
- sc.#vnc.com/driver/xp/driver/mv2.sys
- sc.#vnc.com/driver/xp/driver/mv2.inf
- sc.#vnc.com/driver/xp/setupdrv.exe
- sc.#vnc.com/driver/xp/license.txt
- sc.#vnc.com/SCHook.dll
- sc.#vnc.com/driver/xp/uninstall.bat
- sc.#vnc.com/driver/xp/install.bat
- sc.#vnc.com/driver/xp/uninstall_silent.bat
UDP:
- DNS ASK sc.#vnc.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_WINHELP' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
