Техническая информация
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\regsvr32.exe' /S ..\hhwe1.ocx
- '<SYSTEM32>\regsvr32.exe' /S ..\hhwe2.ocx
- '<SYSTEM32>\regsvr32.exe' /S ..\hhwe3.ocx
- '<SYSTEM32>\regsvr32.exe' /S ..\hhwe4.ocx
Изменения в файловой системе
Создает следующие файлы
- %HOMEPATH%\hhwe3.ocx
- <Текущая директория>\09c11000
Подменяет следующие файлы
- <PATH_SAMPLE>.xls
Сетевая активность
Подключается к
- 'ag##asi.id':443
- 'dj##st.nl':80
- 'co######collegiate.com.pk':443
TCP
Запросы HTTP GET
- http://dj##st.nl/8HOicoBufQNbjbM/
Другие
- 'ag##asi.id':443
- 'co######collegiate.com.pk':443
UDP
- DNS ASK ag##asi.id
- DNS ASK dj##st.nl
- DNS ASK co######collegiate.com.pk
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\regsvr32.exe' /S ..\hhwe1.ocx' (со скрытым окном)
- '<SYSTEM32>\regsvr32.exe' /S ..\hhwe2.ocx' (со скрытым окном)
- '<SYSTEM32>\regsvr32.exe' /S ..\hhwe3.ocx' (со скрытым окном)
- '<SYSTEM32>\regsvr32.exe' /S ..\hhwe4.ocx' (со скрытым окном)
