Technical Information
Malicious functions:
Executes the following:
- '<SYSTEM32>\net.exe' stop issuser
Modifies file system:
Creates the following files:
- %APPDATA%\LDTempRC\issclient.ini
- %APPDATA%\LDTempRC\rcwebroot\images\executableIcon_white.png
- %APPDATA%\LDTempRC\rcwebroot\images\folderIcon.png
- %APPDATA%\LDTempRC\rcwebroot\images\folderIcon_white.png
- %APPDATA%\LDTempRC\rcwebroot\images\key-CAD.png
- %APPDATA%\LDTempRC\rcwebroot\images\key-CAD_down.png
- %APPDATA%\LDTempRC\rcwebroot\images\key-F1.png
- %APPDATA%\LDTempRC\rcwebroot\images\key-F10.png
- %APPDATA%\LDTempRC\rcwebroot\images\key-F10_down.png
- %APPDATA%\LDTempRC\rcwebroot\images\key-F11.png
- %APPDATA%\LDTempRC\rcwebroot\images\key-F11_down.png
- %APPDATA%\LDTempRC\rcwebroot\images\key-F12.png
- %APPDATA%\LDTempRC\rcwebroot\images\key-F12_down.png
- %APPDATA%\LDTempRC\rcwebroot\images\key-F1_down.png
- %APPDATA%\LDTempRC\rcwebroot\images\key-F2.png
- %APPDATA%\LDTempRC\rcwebroot\images\key-F2_down.png
- %APPDATA%\LDTempRC\rcwebroot\images\executableIcon.png
- %APPDATA%\LDTempRC\rcwebroot\images\key-F3.png
- %APPDATA%\LDTempRC\rcwebroot\images\driveIcon_white.png
- %APPDATA%\LDTempRC\rcwebroot\images\closeIcon.png
- %APPDATA%\LDTempRC\rcwebroot\images\Upload_16.png
- %APPDATA%\LDTempRC\rcwebroot\images\btn-exit.png
- %APPDATA%\LDTempRC\rcwebroot\images\btn-help.png
- %APPDATA%\LDTempRC\rcwebroot\images\btn-keyboard.png
- %APPDATA%\LDTempRC\rcwebroot\images\btn-monitors.png
- %APPDATA%\LDTempRC\rcwebroot\images\btn-mouse.png
- %APPDATA%\LDTempRC\rcwebroot\images\btn-reboot.png
- %APPDATA%\LDTempRC\rcwebroot\images\btn-scrncap.png
- %APPDATA%\LDTempRC\rcwebroot\images\btn-setcb.png
- %APPDATA%\LDTempRC\rcwebroot\images\btn-settings.png
- %APPDATA%\LDTempRC\rcwebroot\images\btn-strlist.png
- %APPDATA%\LDTempRC\rcwebroot\images\btn-tools.png
- %APPDATA%\LDTempRC\rcwebroot\images\btn-xfer.png
- %APPDATA%\LDTempRC\rcwebroot\images\btn-zoomin.png
- %APPDATA%\LDTempRC\rcwebroot\images\btn-zoomout.png
- %APPDATA%\LDTempRC\rcwebroot\images\driveIcon.png
- %APPDATA%\LDTempRC\rcwebroot\images\key-F3_down.png
- %APPDATA%\LDTempRC\rcwebroot\images\key-F4.png
- %APPDATA%\LDTempRC\rcwebroot\images\key-F4_down.png
- %APPDATA%\LDTempRC\rcwebroot\images\key-windows_down.png
- %APPDATA%\LDTempRC\rcwebroot\images\loader.gif
- %APPDATA%\LDTempRC\rcwebroot\images\logoBlue.png
- %APPDATA%\LDTempRC\rcwebroot\images\pin.png
- %APPDATA%\LDTempRC\rcwebroot\images\unpin.png
- %APPDATA%\LDTempRC\rcwebroot\images\upLevelIcon.png
- %APPDATA%\LDTempRC\rcgui.log
- %APPDATA%\LDTempRC\rcwebroot\images\uploading_progressbar.gif
- %APPDATA%\LDTempRC\rcwebroot\strings\deurcstrings.xml
- %APPDATA%\LDTempRC\rcwebroot\strings\enurcstrings.xml
- %APPDATA%\LDTempRC\rcwebroot\strings\frarcstrings.xml
- %APPDATA%\LDCleanup.vbs
- %APPDATA%\RCSwitch.hta
- <LS_APPDATA>\Microsoft\Internet Explorer\MSIMGSIZ.DAT
- %APPDATA%\LDTempRC\rcwebroot\images\key-shift_down.png
- %APPDATA%\LDTempRC\rcwebroot\images\key-windows.png
- %APPDATA%\LDTempRC\rcwebroot\images\key-shift.png
- %APPDATA%\LDTempRC\rcwebroot\images\key-esc_down.png
- %APPDATA%\LDTempRC\rcwebroot\images\key-esc.png
- %APPDATA%\LDTempRC\rcwebroot\images\key-F5_down.png
- %APPDATA%\LDTempRC\rcwebroot\images\key-F6.png
- %APPDATA%\LDTempRC\rcwebroot\images\key-F6_down.png
- %APPDATA%\LDTempRC\rcwebroot\images\key-F7.png
- %APPDATA%\LDTempRC\rcwebroot\images\key-F7_down.png
- %APPDATA%\LDTempRC\rcwebroot\images\key-F8.png
- %APPDATA%\LDTempRC\rcwebroot\images\UploadHover_16.png
- %APPDATA%\LDTempRC\rcwebroot\images\key-F9.png
- %APPDATA%\LDTempRC\rcwebroot\images\key-F8_down.png
- %APPDATA%\LDTempRC\rcwebroot\images\key-alt.png
- %APPDATA%\LDTempRC\rcwebroot\images\key-alt_down.png
- %APPDATA%\LDTempRC\rcwebroot\images\key-cmd.png
- %APPDATA%\LDTempRC\rcwebroot\images\key-cmd_down.png
- %APPDATA%\LDTempRC\rcwebroot\images\key-ctrl.png
- %APPDATA%\LDTempRC\rcwebroot\images\key-ctrl_down.png
- %APPDATA%\LDTempRC\rcwebroot\images\key-F5.png
- %APPDATA%\LDTempRC\rcwebroot\images\key-F9_down.png
- %APPDATA%\LDTempRC\rcwebroot\strings\chsrcstrings.xml
- %APPDATA%\LDTempRC\rcwebroot\images\UploadDisabled_16.png
- %APPDATA%\LDTempRC\rcwebroot\images\MouseRightBtnClick.png
- %APPDATA%\LDTempRC\rcwebroot\ca-cert.pem
- %APPDATA%\LDTempRC\rcwebroot\carpe_common.js
- %APPDATA%\LDTempRC\rcwebroot\carpe_slider.css
- %APPDATA%\LDTempRC\rcwebroot\carpe_slider.js
- %APPDATA%\LDTempRC\rcwebroot\chatdialog.js
- %APPDATA%\LDTempRC\rcwebroot\clipboardtransfer.js
- %APPDATA%\LDTempRC\rcwebroot\draggablemouse.js
- %APPDATA%\LDTempRC\rcwebroot\favicon.ico
- %APPDATA%\LDTempRC\rcwebroot\fileTransfer.js
- %APPDATA%\LDTempRC\rcwebroot\filetransferdialog.js
- %APPDATA%\LDTempRC\rcwebroot\index.html
- %APPDATA%\LDTempRC\rcwebroot\input.js
- %APPDATA%\LDTempRC\rcwebroot\kbmapping.js
- %APPDATA%\LDTempRC\rcwebroot\loading.gif
- %APPDATA%\LDTempRC\rcwebroot\localization.js
- %APPDATA%\LDTempRC\rcwebroot\browserdetect.js
- %APPDATA%\LDTempRC\rcwebroot\localsettings.js
- %APPDATA%\LDTempRC\rcwebroot\ZeroClipboard.swf
- %APPDATA%\LDTempRC\rcwebroot\BrowserDectec.js
- %APPDATA%\LDTempRC\netstart.vbs
- %APPDATA%\LDTempRC\netstop.vbs
- %APPDATA%\LDTempRC\logo.jpg
- %APPDATA%\LDTempRC\sleeper.vbs
- %APPDATA%\LDTempRC\Microsoft.VC80.CRT.manifest
- %APPDATA%\LDTempRC\msvcr80.dll
- %APPDATA%\LDTempRC\issclip.dll
- %APPDATA%\LDTempRC\issftclt.dll
- %APPDATA%\LDTempRC\isshook.dll
- %APPDATA%\LDTempRC\issuifx.dll
- %APPDATA%\LDTempRC\issuser.exe
- %APPDATA%\LDTempRC\libeay32mtfips.dll
- %APPDATA%\LDTempRC\rcgui.exe
- %APPDATA%\LDTempRC\ssleay32mtfips.dll
- %APPDATA%\LDTempRC\StartClient.dll
- %APPDATA%\LDTempRC\rcwebroot\ZeroClipboard.js
- %APPDATA%\LDTempRC\rcwebroot\monitorconfig.js
- %APPDATA%\LDTempRC\rcwebroot\processBar.js
- %APPDATA%\LDTempRC\rcwebroot\rc.css
- %APPDATA%\LDTempRC\rcwebroot\images\DownloadHover_16.png
- %APPDATA%\LDTempRC\rcwebroot\images\Download_16.png
- %APPDATA%\LDTempRC\rcwebroot\images\File_16.png
- %APPDATA%\LDTempRC\rcwebroot\images\MouseLeftBody.png
- %APPDATA%\LDTempRC\rcwebroot\images\MouseLeftBtnClick.png
- %APPDATA%\LDTempRC\rcwebroot\images\MouseLeftBtnNormal.png
- %APPDATA%\LDTempRC\rcwebroot\images\UpFolderLevelHover_16.png
- %APPDATA%\LDTempRC\rcwebroot\images\MouseRightBody.png
- %APPDATA%\LDTempRC\rcwebroot\images\MouseRightBtnNormal.png
- %APPDATA%\LDTempRC\rcwebroot\images\NewFolderDisabled_16.png
- %APPDATA%\LDTempRC\rcwebroot\images\NewFolderHover_16.png
- %APPDATA%\LDTempRC\rcwebroot\images\NewFolder_16.png
- %APPDATA%\LDTempRC\rcwebroot\images\OnePx.png
- %APPDATA%\LDTempRC\rcwebroot\images\UpFolderLevelDisabled_16.png
- %APPDATA%\LDTempRC\rcwebroot\images\DialogPointerShadow.png
- %APPDATA%\LDTempRC\rcwebroot\images\DownloadDisabled_16.png
- %APPDATA%\LDTempRC\rcwebroot\images\Delete_16.png
- %APPDATA%\LDTempRC\rcwebroot\images\DeleteHover_16.png
- %APPDATA%\LDTempRC\rcwebroot\images\DeleteDisabled_16.png
- %APPDATA%\LDTempRC\rcwebroot\rcPermission.js
- %APPDATA%\LDTempRC\rcwebroot\rcdialog.js
- %APPDATA%\LDTempRC\rcwebroot\rcpersist.html
- %APPDATA%\LDTempRC\rcwebroot\rcwindow.js
- %APPDATA%\LDTempRC\rcwebroot\rebootdialog.js
- %APPDATA%\LDTempRC\rcwebroot\remoteexecutedialog.js
- %APPDATA%\LDTempRC\rcwebroot\images\UpFolderLevel_16.png
- %APPDATA%\LDTempRC\rcwebroot\server-key.pem
- %APPDATA%\LDTempRC\rcwebroot\server-cert.pem
- %APPDATA%\LDTempRC\rcwebroot\storage.js
- %APPDATA%\LDTempRC\rcwebroot\toolsdialog.js
- %APPDATA%\LDTempRC\rcwebroot\images\BGHeaderBar.png
- %APPDATA%\LDTempRC\rcwebroot\images\Clipboard.png
- %APPDATA%\LDTempRC\rcwebroot\images\ClipboardArrow.png
- %APPDATA%\LDTempRC\rcwebroot\images\ClipboardClearBtn.png
- %APPDATA%\LDTempRC\rcwebroot\rc.js
- %APPDATA%\LDTempRC\rcwebroot\settingsdialog.js
- %APPDATA%\LDTempRC\rcwebroot\issuser.log
Deletes the following files:
- %APPDATA%\LDTempRC\rcwebroot\localsettings.js
Substitutes the following files:
- %APPDATA%\LDTempRC\rcwebroot\localsettings.js
Network activity:
Connects to:
- 'localhost':9535
Miscellaneous:
Searches for the following windows:
- ClassName: 'HTML Application Host Window Class' WindowName: ''
- ClassName: 'ISSLDWuserWndClass' WindowName: ''
- ClassName: 'PROGMAN' WindowName: ''
Creates and executes the following:
- '<SYSTEM32>\wscript.exe' "%APPDATA%\LDTempRC\netstop.vbs"
- '<SYSTEM32>\wscript.exe' "%APPDATA%\LDTempRC\sleeper.vbs" 5000
- '%APPDATA%\LDTempRC\issuser.exe' /b /l<File name> /y0 /videntifier1="%USERNAME%" /videntifier2="5:18:25 PM" /a30
- '%APPDATA%\LDTempRC\rcgui.exe'
Executes the following:
- '<SYSTEM32>\mshta.exe' "%APPDATA%\RCSwitch.hta" "<File name>.exe"
- '<SYSTEM32>\net1.exe' stop issuser
