Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'roseannasdeapp' = '%TEMP%\Embossingsheeneyflooz\HANDELSHJSKO.exe'
Вредоносные функции
Создает и запускает на исполнение
- '' (загружен из сети Интернет)
Создает и запускает на исполнение (эксплоит)
- '%APPDATA%\vbc.exe'
Внедряет код в
следующие пользовательские процессы:
- ieinstal.exe
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\vbc.exe
- %TEMP%\embossingsheeneyflooz\handelshjsko.exe
- %APPDATA%\logerfuf.dat
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\logerfuf.dat
Сетевая активность
TCP
Запросы HTTP GET
- http://ws############anrightjusticeorganizatin.duckdns.org/receipt/invoice_100470.doc
- http://ws############anrightjusticeorganizatin.duckdns.org/scmdoc/win32.exe
- http://gb####health.org/main/new_IKWPviGP254.bin
UDP
- DNS ASK ws############anrightjusticeorganizatin.duckdns.org
- DNS ASK gb####health.org
- DNS ASK ne####.duckdns.org
Другое
Запускает на исполнение
- '%ProgramFiles%\microsoft office\office14\winword.exe' -Embedding
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%ProgramFiles(x86)%\internet explorer\ieinstal.exe'
