Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'mls' = '"%APPDATA%\RAC\mls.exe" -s'
Создает следующие файлы на съемном носителе
- %TEMP%\316311990.tmp
- <Имя диска съемного носителя>:\applicantform_en.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\101341984.tmp
- %TEMP%\rcx2413.tmp
- %TEMP%\rcx2453.tmp
- <PATH_SAMPLE>.docx
- %TEMP%\316311990.tmp
- %TEMP%\rcx2b92.tmp
- %TEMP%\rcx2bc2.tmp
- %TEMP%\rcx2c11.tmp
- %TEMP%\90892003.tmp
Присваивает атрибут 'скрытый' для следующих файлов
- <PATH_SAMPLE>.docx
- %TEMP%\316311990.tmp
Перемещает следующие файлы
- %TEMP%\rcx2413.tmp в %TEMP%\101341984.tmp
- %TEMP%\rcx2453.tmp в %TEMP%\101341984.tmp
- %TEMP%\101341984.tmp в %APPDATA%\rac\mls.exe
- %TEMP%\rcx2b92.tmp в %TEMP%\316311990.tmp
- %TEMP%\rcx2bc2.tmp в %TEMP%\316311990.tmp
- %TEMP%\rcx2c11.tmp в %TEMP%\316311990.tmp
Сетевая активность
Подключается к
- 'wx###lytics.ru':80
UDP
- DNS ASK wx###lytics.ru
Другое
Создает и запускает на исполнение
- '%APPDATA%\rac\mls.exe' -s
- '%ProgramFiles%\microsoft office\office14\winword.exe' /n "<PATH_SAMPLE>.docx"' (со скрытым окном)
- '%APPDATA%\rac\mls.exe' -s' (со скрытым окном)
Запускает на исполнение
- '%ProgramFiles%\microsoft office\office14\winword.exe' /n "<PATH_SAMPLE>.docx"
