Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\sys64.vbe
Вредоносные функции
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\syswow64\wscript.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\$inst\2.tmp
- %TEMP%\$inst\temp_0.tmp
- %ProgramFiles(x86)%\microsoft\microsoft office 2021 pro plus\kms_vl_all_aio.exe
- %ProgramFiles(x86)%\microsoft\microsoft office 2021 pro plus\svhost.vbe
- %ProgramFiles(x86)%\microsoft\microsoft office 2021 pro plus\uninstall.exe
- %ProgramFiles(x86)%\microsoft\microsoft office 2021 pro plus\uninstall.ini
Удаляет следующие файлы
- %TEMP%\$inst\temp_0.tmp
- %TEMP%\$inst\2.tmp
Сетевая активность
Подключается к
- 'pa###bin.com':443
- 'ap#.#pify.org':443
- 're####h.duckdns.org':1508
- 'microsoft.com':80
TCP
Запросы HTTP GET
- http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt
Другие
- 'pa###bin.com':443
- 'ap#.#pify.org':443
UDP
- DNS ASK pa###bin.com
- DNS ASK ap#.#pify.org
- DNS ASK re####h.duckdns.org
- DNS ASK microsoft.com
Другое
Создает и запускает на исполнение
- '%ProgramFiles(x86)%\microsoft\microsoft office 2021 pro plus\kms_vl_all_aio.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\wscript.exe' "%ProgramFiles(x86)%\Microsoft\Microsoft Office 2021 Pro Plus\Svhost.vbe"
- '%WINDIR%\syswow64\wscript.exe' "%ProgramFiles(x86)%\Microsoft\Microsoft Office 2021 Pro Plus\Svhost.vbe" Q37ZP3YC
