Техническая информация
Вредоносные функции
Запускает на исполнение (эксплоит)
- '%CommonProgramFiles%\Microsoft Shared\DW\DW20.EXE' -x -s 1136
- '%CommonProgramFiles%\microsoft shared\office12\offdiag.exe' 1 /LCID 1033 /WAITPID 516
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\tmp1.tmp
- %TEMP%\wecerr.txt
- %TEMP%\tmp2.tmp
- %TEMP%\1673856.cvr
- %TEMP%\1673866.od
- %TEMP%\dw.log
- %TEMP%\198e92.dmp
Удаляет следующие файлы
- %TEMP%\198e92.dmp
- %TEMP%\1673856.cvr
- %TEMP%\1673866.od
Сетевая активность
Подключается к
- 'kh###lmouna.com':443
UDP
- DNS ASK kh###lmouna.com
Другое
Ищет следующие окна
- ClassName: 'Ghost' WindowName: ''
- ClassName: 'MsoHelp11' WindowName: ''
- ClassName: 'AgentAnim' WindowName: ''
Запускает на исполнение
- '%ProgramFiles%\microsoft office\office12\excel.exe' /automation -Embedding
- '%ProgramFiles%\microsoft office\office12\winword.exe' /Automation -Embedding
- '%ProgramFiles%\Microsoft Office\Office12\WINWORD.EXE'
