Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %TEMP%\msals.pumpl
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\rundll32.exe' %APPDATA%\microsoft\word\startup\MsMp.dll,HGLLHCMLDPM
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\svchost.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\msals.pumpl
- <Текущая директория>\~wrd0000.tmp
- <Текущая директория>\~wrd0001.tmp
- %TEMP%\msohtmlclip1\01\clip_themedata.thmx
- %TEMP%\msohtmlclip1\01\clip_colorschememapping.xml
- %TEMP%\msohtmlclip1\01\clip_image001.emz
- %TEMP%\msohtmlclip1\01\clip_image002.png
- %TEMP%\msohtmlclip1\01\clip_oledata.mso
- %ALLUSERSPROFILE%\kaosdma.txt
Удаляет следующие файлы
- <Текущая директория>\~wrd0000.tmp
Изменяет следующие файлы
Подменяет следующие файлы
- <PATH_SAMPLE>.doc
- %TEMP%\msals.pumpl
Самоудаляется.
Сетевая активность
Подключается к
- 'ap#.#pify.org':80
- 'wi###theta.com':80
- 'un###easus.ru':80
- 'fr###elylo.ru':80
- '67##jk.ru':80
UDP
- DNS ASK ap#.#pify.org
- DNS ASK wi###theta.com
- DNS ASK un###easus.ru
- DNS ASK fr###elylo.ru
- DNS ASK 67##jk.ru
- DNS ASK sw###lidian.com
Другое
Запускает на исполнение
- '%WINDIR%\syswow64\svchost.exe'
