Техническая информация
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\rundll32.exe' %APPDATA%\Microsoft\Templates\Static.dll,SSRRBCMYEIL
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\svchost.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\hs52qascx.t0mp
- %ALLUSERSPROFILE%\kaosdma.txt
- <Текущая директория>\~wrd0000.tmp
- <Текущая директория>\~wrd0001.tmp
- %TEMP%\msohtmlclip1\01\clip_themedata.thmx
- %TEMP%\msohtmlclip1\01\clip_colorschememapping.xml
- %TEMP%\msohtmlclip1\01\clip_image001.emz
- %TEMP%\msohtmlclip1\01\clip_image002.png
- %TEMP%\msohtmlclip1\01\clip_oledata.mso
Удаляет следующие файлы
- <Текущая директория>\~wrd0000.tmp
Перемещает следующие файлы
- %TEMP%\hs52qascx.t0mp в %APPDATA%\microsoft\templates\static.dll
Изменяет следующие файлы
Подменяет следующие файлы
- <PATH_SAMPLE>.doc
- %TEMP%\hs52qascx.t0mp
Самоудаляется.
Сетевая активность
Подключается к
- 'ap#.#pify.org':80
- 'af###eand.com':80
- 'ne###icies.ru':80
- 'sr####orlduce.ru':80
- 'sw###lidian.com':80
UDP
- DNS ASK ap#.#pify.org
- DNS ASK af###eand.com
- DNS ASK ne###icies.ru
- DNS ASK sr####orlduce.ru
- DNS ASK sw###lidian.com
Другое
Запускает на исполнение
- '%WINDIR%\syswow64\svchost.exe'
