Техническая информация
Вредоносные функции:
Запускает на исполнение:
- <SYSTEM32>\net.exe stop "Service Host Controller"
- <SYSTEM32>\sc.exe config tlntsvr start= disabled
- <SYSTEM32>\net1.exe stop Telnet
- <SYSTEM32>\schtasks.exe /delete /tn security /f
- <SYSTEM32>\net1.exe user HelpAssistant /delete
- <SYSTEM32>\net1.exe stop "Service Host Controller"
- <SYSTEM32>\taskkill.exe /f /im rutserv.exe
- <SYSTEM32>\taskkill.exe /f /im RManServer.exe
- <SYSTEM32>\cmd.exe /c ""%TEMP%\1.tmp\msignu.bat" "
- <SYSTEM32>\net.exe stop Telnet
- <SYSTEM32>\attrib.exe +s +h "<SYSTEM32>\catroot3"
- <SYSTEM32>\reg.exe delete "HKLM\SYSTEM\Remote Manipulator System" /f
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\catroot3\HookDrv.dll
- <SYSTEM32>\catroot3\Microsoft.VC80.CRT.manifest
- <SYSTEM32>\catroot3\msvcp80.dll
- <SYSTEM32>\catroot3\dsfVorbisEncoder.dll
- <SYSTEM32>\catroot3\word.doc
- <SYSTEM32>\catroot3\dsfOggMux.dll
- <SYSTEM32>\catroot3\dsfTheoraEncoder.dll
- <SYSTEM32>\catroot3\msvcr80.dll
- <SYSTEM32>\catroot3\rversionlib.dll
- <SYSTEM32>\catroot3\RWLN.dll
- <SYSTEM32>\catroot3\set.reg
- <SYSTEM32>\catroot3\rutserv.exe
- <SYSTEM32>\catroot3\rfusclient.exe
- <SYSTEM32>\catroot3\PushSource.ax
- <SYSTEM32>\catroot3\RIPCServer.dll
- %TEMP%\1.tmp\dsfOggMux.dll
- %TEMP%\1.tmp\Microsoft.VC80.CRT.manifest
- %TEMP%\1.tmp\msvcp80.dll
- %TEMP%\1.tmp\msvcr80.dll
- %TEMP%\1.tmp\HookDrv.dll
- %TEMP%\1.tmp\msignu.bat
- %TEMP%\1.tmp\dsfTheoraEncoder.dll
- %TEMP%\1.tmp\dsfVorbisEncoder.dll
- %TEMP%\1.tmp\PushSource.ax
- %TEMP%\1.tmp\RWLN.dll
- %TEMP%\1.tmp\set.reg
- %TEMP%\1.tmp\word.doc
- %TEMP%\1.tmp\rversionlib.dll
- %TEMP%\1.tmp\rfusclient.exe
- %TEMP%\1.tmp\RIPCServer.dll
- %TEMP%\1.tmp\rutserv.exe
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: ''
