Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\msupdate
- <SYSTEM32>\tasks\amsinternetexplorerupdate
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /im winword.exe /f
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\schtasks.exe' /create /tn MsUpdate /tr "rundll32 %APPDATA%\wingui.dll,house" /f /sc minute /mo 3
- '<SYSTEM32>\cmd.exe' /c taskkill /im winword.exe /f & reg delete "HKCU\Software\Microsoft\Office\12.0\Word\Resiliency" /F & reg delete "HKCU\Software\Microsoft\Office\14.0\Word\Resiliency" /F & reg delete "HKCU\Sof...
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\wingui.dll
- %TEMP%\document.doc
- %ALLUSERSPROFILE%\microsoft\devicesync\micro.dll
Сетевая активность
Подключается к
- 'wo###fronts.xyz':80
TCP
Запросы HTTP GET
- http://wo###fronts.xyz/jack/h9i341lDMiztxAqrWsaOwHfUkSrAFWuI.dat
- http://wo###fronts.xyz/jack/h9i341lDMiztxAqrWsaOwHfUkSrAFWuI.doc
UDP
- DNS ASK wo###fronts.xyz
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '<SYSTEM32>\schtasks.exe' /create /tn MsUpdate /tr "rundll32 %APPDATA%\wingui.dll,house" /f /sc minute /mo 3' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c taskkill /im winword.exe /f & reg delete "HKCU\Software\Microsoft\Office\12.0\Word\Resiliency" /F & reg delete "HKCU\Software\Microsoft\Office\14.0\Word\Resiliency" /F & reg delete "HKCU\Sof...' (со скрытым окном)
- '<SYSTEM32>\rundll32.exe' %APPDATA%\wingui.dll,house' (со скрытым окном)
- '%WINDIR%\syswow64\rundll32.exe' "%APPDATA%\wingui.dll ",KPMG' (со скрытым окном)
Запускает на исполнение
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '<SYSTEM32>\reg.exe' delete "HKCU\Software\Microsoft\Office\12.0\Word\Resiliency" /F
- '<SYSTEM32>\reg.exe' delete "HKCU\Software\Microsoft\Office\14.0\Word\Resiliency" /F
- '<SYSTEM32>\reg.exe' delete "HKCU\Software\Microsoft\Office\15.0\Word\Resiliency" /F
- '<SYSTEM32>\reg.exe' delete "HKCU\Software\Microsoft\Office\16.0\Word\Resiliency" /F
- '%ProgramFiles%\microsoft office\office14\winword.exe' /n "%TEMP%\document.doc"
- '<SYSTEM32>\taskeng.exe' {61396907-7192-4D87-ACB7-00ACE54C75A3} S-1-5-21-1960123792-2022915161-3775307078-1001:iggnafksdtn\user:Interactive:[1]
- '<SYSTEM32>\rundll32.exe' %APPDATA%\wingui.dll,house
- '%WINDIR%\syswow64\rundll32.exe' "%APPDATA%\wingui.dll ",KPMG
- '%WINDIR%\syswow64\cmd.exe' /c wmic csproduct get name
- '%WINDIR%\syswow64\wbem\wmic.exe' csproduct get name
