Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\raddrvv3] 'Start' = '00000001'
- [<HKLM>\SYSTEM\ControlSet001\Services\mirrorv3] 'Start' = '00000001'
- [<HKLM>\SYSTEM\ControlSet001\Services\RServer3] 'Start' = '00000002'
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<SYSTEM32>\rserver30\rserver3.exe' = '<SYSTEM32>\rserver30\rserver3.exe:*:Enabled:Radmin Server 3'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List] '<SYSTEM32>\rserver30\rserver3.exe' = '<SYSTEM32>\rserver30\rserver3.exe:*:Enabled:Radmin Server 3'
Создает и запускает на исполнение:
- '<SYSTEM32>\rserver30\rserver3.exe' /service
- '<SYSTEM32>\rserver30\FamItrfc.Exe'
- '<SYSTEM32>\rserver30\rserver3.exe' /setup
- '%TEMP%\{1B25B709-0909-4C30-8E85-BF3823DF7555}\rsetup.exe' /stop
- '<SYSTEM32>\rserver30\rsetup.exe' /intsetup
- '<SYSTEM32>\rserver30\rsetup.exe' /start
Запускает на исполнение:
- '<SYSTEM32>\runonce.exe' -r
- '<SYSTEM32>\netsh.exe' firewall add allowedprogram program="<SYSTEM32>\rserver30\rserver3.exe" name="Radmin Server 3" ENABLE scope=ALL profile=ALL
- '<SYSTEM32>\msiexec.exe' -Embedding 7DDC51A7D0C18CAD20E99F3C181BC7B6
- '<SYSTEM32>\msiexec.exe' /i "rsvciess.msi" /qn /norestart
- '<SYSTEM32>\msiexec.exe' /V
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\rserver30\mirrorv3.inf
- <SYSTEM32>\rserver30\mirrorv3.cat
- <SYSTEM32>\rserver30\mirrorv3.dll
- <SYSTEM32>\rserver30\rsetup.exe
- <SYSTEM32>\rserver30\rminiv3.sys
- <SYSTEM32>\rserver30\raddrvv3.sys
- <SYSTEM32>\rserver30\2052.lng_rad
- %HOMEPATH%\Start Menu\Programs\Radmin Server 3\Radmin服务器的设置.lnk
- <SYSTEM32>\rserver30\Radmin30.chm
- <SYSTEM32>\rserver30\eula.txt
- <SYSTEM32>\rserver30\Radmin30cn.chm
- <SYSTEM32>\rserver30\CHATLOGS\info.txt
- <SYSTEM32>\rserver30\rschatx.dll
- <SYSTEM32>\rserver30\rchatx.dll
- <SYSTEM32>\rserver30\RCursor.dll
- <SYSTEM32>\rserver30\rsl.exe
- <SYSTEM32>\rserver30\ChatLPCx.dll
- <SYSTEM32>\rserver30\vcintcx.dll
- <SYSTEM32>\rserver30\vcintsx.dll
- <SYSTEM32>\rserver30\rsaudiox.dll
- <SYSTEM32>\rserver30\raudiox.dll
- <SYSTEM32>\rserver30\voicex.dll
- %APPDATA%\Microsoft\Installer\{1B25B709-0909-4C30-8E85-BF3823DF7555}\ARPPRODUCTICON.exe
- %APPDATA%\Microsoft\Installer\{1B25B709-0909-4C30-8E85-BF3823DF7555}\Z_MENU_SRVCFG_6BF1780B36EA432B9451DD84FF5C9D52.exe
- %WINDIR%\Installer\MSI37.tmp
- %WINDIR%\Installer\MSI35.tmp
- %WINDIR%\Installer\MSI36.tmp
- %APPDATA%\Microsoft\Installer\{1B25B709-0909-4C30-8E85-BF3823DF7555}\NewShortcut4_6BF1780B36EA432B9451DD84FF5C9D52.exe
- %WINDIR%\Installer\MSI3A.tmp
- %WINDIR%\Installer\MSI3B.tmp
- <SYSTEM32>\rserver30\Radm_log.htm
- %APPDATA%\Microsoft\Installer\{1B25B709-0909-4C30-8E85-BF3823DF7555}\NewShortcut3_6BF1780B36EA432B9451DD84FF5C9D52.exe
- %WINDIR%\Installer\MSI38.tmp
- %HOMEPATH%\Start Menu\Programs\Radmin Server 3\卸载.lnk
- %WINDIR%\Installer\MSI2F.tmp
- %HOMEPATH%\Start Menu\Programs\Radmin Server 3\停止Radmin服务器.lnk
- %HOMEPATH%\Start Menu\Programs\Radmin Server 3\帮助.lnk
- %HOMEPATH%\Start Menu\Programs\Radmin Server 3\启动Radmin服务器.lnk
- %WINDIR%\Installer\MSI30.tmp
- <DRIVERS>\SET33.tmp
- <SYSTEM32>\SET34.tmp
- %WINDIR%\inf\oem3.PNF
- <SYSTEM32>\CatRoot\{F750E6C3-38EE-11D1-85E5-00C04FC295EE}\oem3.CAT
- %WINDIR%\inf\oem3.inf
- %TEMP%\Cab11.tmp
- %WINDIR%\Installer\MSI13.tmp
- %TEMP%\CabF.tmp
- %TEMP%\CabB.tmp
- %TEMP%\CabD.tmp
- %TEMP%\{1B25B709-0909-4C30-8E85-BF3823DF7555}\rsetup.exe
- %WINDIR%\Installer\MSI15.tmp
- %WINDIR%\Installer\MSI14.tmp
- %TEMP%\{1B25B709-0909-4C30-8E85-BF3823DF7555}\rsetup64.exe
- %TEMP%\{1B25B709-0909-4C30-8E85-BF3823DF7555}\FirewallInstallHelper.dll
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\2BF68F4714092295550497DD56F57004
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\2BF68F4714092295550497DD56F57004
- <SYSTEM32>\rserver30\rsvciess.msi
- %WINDIR%\Installer\26334.msi
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\94308059B57B3142E455B38A6EB92015
- %TEMP%\Cab7.tmp
- %TEMP%\Cab9.tmp
- %TEMP%\Cab5.tmp
- %TEMP%\Cab1.tmp
- %TEMP%\Cab3.tmp
- %TEMP%\Cab2D.tmp
- <SYSTEM32>\rserver30\WinLpcDl.dll
- %TEMP%\Cab2B.tmp
- %TEMP%\Cab27.tmp
- %TEMP%\Cab29.tmp
- <SYSTEM32>\rserver30\WinLpcDl2.dll
- <SYSTEM32>\rserver30\rserver3.exe
- <SYSTEM32>\rserver30\R_sui.dll
- <SYSTEM32>\rserver30\FirewallInstallHelper.dll
- <SYSTEM32>\rserver30\FamItrfc.Exe
- <SYSTEM32>\rserver30\FamItrf2.Exe
- %WINDIR%\Installer\MSI19.tmp
- %WINDIR%\Installer\MSI1A.tmp
- C:\Config.Msi\26337.rbs
- %WINDIR%\Installer\MSI16.tmp
- %WINDIR%\Installer\MSI17.tmp
- %TEMP%\Cab1B.tmp
- %TEMP%\Cab23.tmp
- %TEMP%\Cab25.tmp
- %TEMP%\Cab21.tmp
- %TEMP%\Cab1D.tmp
- %TEMP%\Cab1F.tmp
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\CatRoot\{F750E6C3-38EE-11D1-85E5-00C04FC295EE}\oem3.CAT
Удаляет следующие файлы:
- %WINDIR%\Installer\MSI30.tmp
- %WINDIR%\Installer\MSI2F.tmp
- %WINDIR%\Installer\MSI35.tmp
- %WINDIR%\Installer\MSI37.tmp
- %WINDIR%\Installer\MSI36.tmp
- %TEMP%\Cab27.tmp
- %TEMP%\Cab25.tmp
- %TEMP%\Cab29.tmp
- %TEMP%\Cab2D.tmp
- %TEMP%\Cab2B.tmp
- %TEMP%\{1B25B709-0909-4C30-8E85-BF3823DF7555}\rsetup64.exe
- %TEMP%\{1B25B709-0909-4C30-8E85-BF3823DF7555}\rsetup.exe
- %WINDIR%\Installer\MSI3B.tmp
- %WINDIR%\Installer\26336.ipi
- %WINDIR%\Installer\26334.msi
- %WINDIR%\Installer\MSI17.tmp
- %WINDIR%\Installer\MSI38.tmp
- C:\Config.Msi\26337.rbs
- %TEMP%\{1B25B709-0909-4C30-8E85-BF3823DF7555}\FirewallInstallHelper.dll
- %WINDIR%\Installer\MSI3A.tmp
- %TEMP%\CabD.tmp
- %TEMP%\CabB.tmp
- %TEMP%\CabF.tmp
- %WINDIR%\Installer\MSI13.tmp
- %TEMP%\Cab11.tmp
- %TEMP%\Cab3.tmp
- %TEMP%\Cab1.tmp
- %TEMP%\Cab5.tmp
- %TEMP%\Cab9.tmp
- %TEMP%\Cab7.tmp
- %TEMP%\Cab1D.tmp
- %TEMP%\Cab1B.tmp
- %TEMP%\Cab1F.tmp
- %TEMP%\Cab23.tmp
- %TEMP%\Cab21.tmp
- %WINDIR%\Installer\MSI15.tmp
- %WINDIR%\Installer\MSI14.tmp
- %WINDIR%\Installer\MSI16.tmp
- %WINDIR%\Installer\MSI1A.tmp
- %WINDIR%\Installer\MSI19.tmp
Перемещает следующие файлы:
- <SYSTEM32>\SET34.tmp в <SYSTEM32>\mirrorv3.dll
- <DRIVERS>\SET33.tmp в <DRIVERS>\rminiv3.sys
Сетевая активность:
Подключается к:
- 'www.download.windowsupdate.com':80
- 'wp#d':80
TCP:
Запросы HTTP GET:
- www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab
- www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt
- wp#d/wpad.dat
UDP:
- DNS ASK www.download.windowsupdate.com
- DNS ASK wp#d
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
