Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\sysfiles\RMS.exe'
Запускает на исполнение:
- '<SYSTEM32>\chcp.com' 1251
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\7ZipSfx.000\install.cmd" "
- '<SYSTEM32>\msiexec.exe' /V
- '<SYSTEM32>\msiexec.exe' /x {61FFA475-24D5-44FB-A51F-39B699E3D82C} /qn REBOOT=ReallySuppress
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\install.bat" "
- '<SYSTEM32>\wscript.exe' "%TEMP%\stop.js"
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\7ZSfx000.cmd" "
- '<SYSTEM32>\attrib.exe' +s +h +r "%WINDIR%/system32/sysfiles/RMS.exe"
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\7ZSfx000.cmd
- %TEMP%\7ZipSfx.000\rms.host6.0ru.msi
- %TEMP%\7ZipSfx.000\install.cmd
- <SYSTEM32>\sysfiles\RMS.exe
- %TEMP%\stop.js
- %TEMP%\install.bat
- %TEMP%\RMS.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\sysfiles\RMS.exe
Удаляет следующие файлы:
- %TEMP%\7ZSfx000.cmd
- %TEMP%\stop.js
Самоудаляется.
