Техническая информация
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\cmd.exe' /C "REG DELETE "HKCU\SOFTWARE\Microsoft\Windows Script Host\Settings" /v Enabled /f"
- '<SYSTEM32>\cmd.exe' /C "REG ADD HKEY_CURRENT_USER\Software\Microsoft\Office\14.0\Excel\Security /v AccessVBOM /t REG_DWORD /d 1 /f"
- '<SYSTEM32>\cmd.exe' /C "REG ADD HKEY_CURRENT_USER\Software\Policies\Microsoft\Office\14.0\Excel\Security /v AccessVBOM /t REG_DWORD /d 1 /f"
- '<SYSTEM32>\cmd.exe' /C "<PATH_SAMPLE>.xls"
Другое
Ищет следующие окна
- ClassName: 'XLMAIN' WindowName: 'Microsoft Excel (Product Activation Failed) - Book1'
- ClassName: 'XLMAIN' WindowName: ''
Создает и запускает на исполнение
- '<SYSTEM32>\cmd.exe' /C "REG DELETE "HKCU\SOFTWARE\Microsoft\Windows Script Host\Settings" /v Enabled /f"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C "REG ADD HKEY_CURRENT_USER\Software\Microsoft\Office\14.0\Excel\Security /v AccessVBOM /t REG_DWORD /d 1 /f"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C "REG ADD HKEY_CURRENT_USER\Software\Policies\Microsoft\Office\14.0\Excel\Security /v AccessVBOM /t REG_DWORD /d 1 /f"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C "<PATH_SAMPLE>.xls"' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\reg.exe' ADD HKEY_CURRENT_USER\Software\Microsoft\Office\14.0\Excel\Security /v AccessVBOM /t REG_DWORD /d 1 /f
- '<SYSTEM32>\reg.exe' ADD HKEY_CURRENT_USER\Software\Policies\Microsoft\Office\14.0\Excel\Security /v AccessVBOM /t REG_DWORD /d 1 /f
- '<SYSTEM32>\reg.exe' DELETE "HKCU\SOFTWARE\Microsoft\Windows Script Host\Settings" /v Enabled /f
- '%ProgramFiles%\microsoft office\office14\excel.exe' /dde
