Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\vheMKltVQAP.dll] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\vheMKltVQAP.dll] 'ImagePath' = '<SYSTEM32>\regsvr32.exe "<SYSTEM32>\RDHLVhOXNUraScr\vheMKltVQAP.dll"'
- [<HKLM>\System\CurrentControlSet\Services\VSTymgEw.dll] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\VSTymgEw.dll] 'ImagePath' = '<SYSTEM32>\regsvr32.exe "<SYSTEM32>\Aaxhr\VSTymgEw.dll"'
Создает следующие сервисы
- 'vheMKltVQAP.dll' <SYSTEM32>\regsvr32.exe "<SYSTEM32>\RDHLVhOXNUraScr\vheMKltVQAP.dll"
- 'VSTymgEw.dll' <SYSTEM32>\regsvr32.exe "<SYSTEM32>\Aaxhr\VSTymgEw.dll"
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\regsvr32.exe' /S ..\hso1.ocx
- '<SYSTEM32>\regsvr32.exe' /S ..\hso2.ocx
- '<SYSTEM32>\regsvr32.exe' /S ..\hso3.ocx
- '<SYSTEM32>\regsvr32.exe' /S ..\hso4.ocx
Изменения в файловой системе
Создает следующие файлы
- %HOMEPATH%\hso2.ocx
- %HOMEPATH%\hso4.ocx
- <Текущая директория>\acbd0000
Перемещает следующие файлы
- %HOMEPATH%\hso2.ocx в <SYSTEM32>\rdhlvhoxnurascr\vhemkltvqap.dll
- %HOMEPATH%\hso4.ocx в <SYSTEM32>\aaxhr\vstymgew.dll
Подменяет следующие файлы
- <PATH_SAMPLE>.xls
Сетевая активность
Подключается к
- 'do####-hjelpen.dk':443
- '10#.#32.242.26':8080
- '11#.#32.117.186':8080
- '15#.#5.140.115':443
- '82.##3.21.224':8080
- '20#.#26.98.206':8080
- '5.#.116.246':8080
- '45.#35.8.30':8080
- '13#.#00.24.231':80
- '11#.#93.124.41':7080
- '14#.#6.131.28':8080
- '17#.#05.226.75':8080
- '14#.#1.78.55':443
- '13#.#48.6.80':443
- '13#.#62.113.169':8080
- '45.##.181.158':443
- 'ep########-bizcom.msci.dusit.ac.th':80
- 'do###izka.cz':443
- 'do######.vpservice-online.com':80
- '10#.#0.28.102':8080
- '64.##7.100.222':8080
TCP
Запросы HTTP GET
- http://do######.vpservice-online.com/img/cPPHgfsrA/
- http://ep########-bizcom.msci.dusit.ac.th/e_port/AYB2aG2/
Другие
- 'do####-hjelpen.dk':443
- 'do###izka.cz':443
- '13#.#62.113.169':8080
- '13#.#48.6.80':443
- '14#.#1.78.55':443
- '17#.#05.226.75':8080
- '14#.#6.131.28':8080
- '13#.#00.24.231':80
- '20#.#26.98.206':8080
- '11#.#93.124.41':7080
UDP
- DNS ASK do####-hjelpen.dk
- DNS ASK do######.vpservice-online.com
- DNS ASK do###izka.cz
- DNS ASK ep########-bizcom.msci.dusit.ac.th
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\regsvr32.exe' /S ..\hso1.ocx' (со скрытым окном)
- '<SYSTEM32>\regsvr32.exe' /S ..\hso2.ocx' (со скрытым окном)
- '<SYSTEM32>\regsvr32.exe' /S ..\hso3.ocx' (со скрытым окном)
- '<SYSTEM32>\regsvr32.exe' /S ..\hso4.ocx' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\regsvr32.exe' "<SYSTEM32>\RDHLVhOXNUraScr\vheMKltVQAP.dll"
- '<SYSTEM32>\regsvr32.exe' "<SYSTEM32>\Aaxhr\VSTymgEw.dll"
