Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\RWLN] 'Startup' = 'WLEventStartup'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\RWLN] 'Logon' = 'WLEventLogon'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\RWLN] 'DllName' = 'RWLN.dll'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\RManService] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\sysfiles\rutserv.exe' /start
- '<SYSTEM32>\sysfiles\rutserv.exe'
- '<SYSTEM32>\sysfiles\rfusclient.exe' /tray
- '<SYSTEM32>\sysfiles\rutserv.exe' /silentinstall
- '<SYSTEM32>\sysfiles\rutserv.exe' /firewall
- '<SYSTEM32>\sysfiles\rutserv.exe' /printerinstall
Запускает на исполнение:
- '<SYSTEM32>\ping.exe' 127.0.0.1
- '<SYSTEM32>\msiexec.exe' /I "rms.msi" /qn
- '<SYSTEM32>\msiexec.exe' /x {B04BFE4C-7F11-49D8-ADFE-867939D886FA} /qn REBOOT=ReallySuppress
- '<SYSTEM32>\msiexec.exe' /x {2B0A2EED-E2C8-40CE-A701-95B211A39B34} /qn REBOOT=ReallySuppress
- '<SYSTEM32>\msiexec.exe' -Embedding 15571B52A1E186714DA03DF45181D40F
- '<SYSTEM32>\sc.exe' description "RManService" "Authorization and authentication for signed Windows Media files"
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\7ZSfx000.cmd" "
- '<SYSTEM32>\attrib.exe' +s +h "<SYSTEM32>\sysfiles"
- '<SYSTEM32>\sc.exe' config "RManService" start= auto displayname= "Windows Media"
- '<SYSTEM32>\reg.exe' delete "HKLM\SYSTEM\Remote Manipulator System" /f
- '<SYSTEM32>\msiexec.exe' /x {61FFA475-24D5-44FB-A51F-39B699E3D82C} /qn REBOOT=ReallySuppress
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\7ZipSfx.000\install.cmd" "
- '<SYSTEM32>\taskkill.exe' /f /im rutserv.exe
- '<SYSTEM32>\msiexec.exe' /V
- '<SYSTEM32>\msiexec.exe' /x {54D1AB84-6B0B-445D-B7AB-E2B2FEEC3A4F} /qn REBOOT=ReallySuppress
- '<SYSTEM32>\msiexec.exe' /x {AB7AA605-500F-4153-8207-FB5563419112} /qn REBOOT=ReallySuppress
- '<SYSTEM32>\msiexec.exe' /x {A5DB67DC-DB0E-4491-B9F7-F258A02EE03C} /qn REBOOT=ReallySuppress
- '<SYSTEM32>\msiexec.exe' /x {5B1EC627-A9CA-4BE8-966E-5FCB90ECD770} /qn REBOOT=ReallySuppress
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\sysfiles\rfusclient.exe
- <SYSTEM32>\sysfiles\RIPCServer.dll
- <SYSTEM32>\sysfiles\rutserv.exe
- <SYSTEM32>\sysfiles\msvcp90.dll
- <SYSTEM32>\sysfiles\msvcr100.dll
- <SYSTEM32>\sysfiles\msvcr90.dll
- %WINDIR%\Installer\{2B0A2EED-E2C8-40CE-A701-95B211A39B34}\ARPPRODUCTICON.exe
- <SYSTEM32>\RWLN.dll
- %TEMP%\7ZSfx000.cmd
- <SYSTEM32>\sysfiles\RWLN.dll
- <SYSTEM32>\sysfiles\vp8decoder.dll
- <SYSTEM32>\sysfiles\vp8encoder.dll
- %WINDIR%\Installer\MSI1.tmp
- %WINDIR%\Installer\MSI2.tmp
- %TEMP%\7ZipSfx.000\rms.msi
- %TEMP%\7ZipSfx.000\install.cmd
- %WINDIR%\Installer\2819a.msi
- <SYSTEM32>\sysfiles\gdiplus.dll
- <SYSTEM32>\sysfiles\Microsoft.VC90.CRT.manifest
- <SYSTEM32>\sysfiles\msimg32.dll
- C:\Config.Msi\2819d.rbs
- <SYSTEM32>\sysfiles\dsfVorbisDecoder.dll
- <SYSTEM32>\sysfiles\dsfVorbisEncoder.dll
Удаляет следующие файлы:
- %TEMP%\7ZipSfx.000\install.cmd
- %WINDIR%\Installer\2819c.ipi
- %TEMP%\7ZSfx000.cmd
- %TEMP%\7ZipSfx.000\rms.msi
- %WINDIR%\Installer\MSI2.tmp
- %WINDIR%\Installer\MSI1.tmp
- %WINDIR%\Installer\2819a.msi
- C:\Config.Msi\2819d.rbs
Самоудаляется.
Сетевая активность:
Подключается к:
- 'rm#####ver.tektonit.ru':563
- 'rm#####ver.tektonit.ru':5655
- 'rm##sys.ru':80
TCP:
Запросы HTTP GET:
- rm##sys.ru/utils/inet_id_notify.php?te####
Запросы HTTP POST:
- rm##sys.ru/utils/inet_id_notify.php
UDP:
- DNS ASK rm#####ver.tektonit.ru
- DNS ASK rm##sys.ru
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: ''
