Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %TEMP%\hs52qascx.t0mp
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\rundll32.exe' %APPDATA%\microsoft\word\startup\Static.dll,PVAXQXJSHTN
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\svchost.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\hs52qascx.t0mp
- <Текущая директория>\~wrd0000.tmp
- <Текущая директория>\~wrd0001.tmp
- %ALLUSERSPROFILE%\kaosdma.txt
- %TEMP%\msohtmlclip1\01\clip_themedata.thmx
- %TEMP%\msohtmlclip1\01\clip_colorschememapping.xml
- %TEMP%\msohtmlclip1\01\clip_image001.emz
- %TEMP%\msohtmlclip1\01\clip_image002.png
- %TEMP%\msohtmlclip1\01\clip_oledata.mso
Удаляет следующие файлы
- <Текущая директория>\~wrd0000.tmp
Изменяет следующие файлы
Подменяет следующие файлы
- <PATH_SAMPLE>.doc
- %TEMP%\hs52qascx.t0mp
Самоудаляется.
Сетевая активность
Подключается к
- 'ap#.#pify.org':80
- 'sp###tentz.com':80
- 'wo###iareves.ru':80
- 'sw###lidian.com':80
UDP
- DNS ASK ap#.#pify.org
- DNS ASK sp###tentz.com
- DNS ASK wo###iareves.ru
- DNS ASK sw###lidian.com
Другое
Запускает на исполнение
- '%WINDIR%\syswow64\svchost.exe'
