Техническая информация
Вредоносные функции
Создает и запускает на исполнение
- '' (загружен из сети Интернет)
Создает и запускает на исполнение (эксплоит)
- 'C:\users\public\vbc.exe'
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
следующие пользовательские процессы:
- vbc.exe
Изменения в файловой системе
Создает следующие файлы
- C:\users\public\vbc.exe
- <Текущая директория>\44761000
Удаляет следующие файлы
- C:\users\public\vbc.exe
Подменяет следующие файлы
- <PATH_SAMPLE>.xlsx
Сетевая активность
Подключается к
- '19#.#27.168.194':80
- '14#.#24.217.173':80
- 'no######olinacabling.com':80
- '43##y.xyz':80
- 'sa###club.com':80
- 'na#####coaching.info':80
- 'in####ormeta.world':80
- 'qu####oggerbe.com':80
- 'jo#####hphotography.com':80
- 'ms###l-shb.xyz':80
- '66##53.xyz':80
TCP
Запросы HTTP GET
- http://19#.#27.168.194/office_dc/invc_21.doc
- http://14#.#24.217.173/winspace/.csrss.exe
- http://www.no######olinacabling.com/0njt/?YR##################################################################################
- http://www.43##y.xyz/0njt/?YR##################################################################################
- http://www.sa###club.com/0njt/?YR##################################################################################
- http://www.na#####coaching.info/0njt/?YR##################################################################################
- http://www.in####ormeta.world/0njt/?YR##################################################################################
- http://www.qu####oggerbe.com/0njt/?YR##################################################################################
- http://www.jo#####hphotography.com/0njt/?YR##################################################################################
- http://www.qu###yname.xyz/0njt/?YR##################################################################################
- http://www.ms###l-shb.xyz/0njt/?YR##################################################################################
UDP
- DNS ASK no######olinacabling.com
- DNS ASK 43##y.xyz
- DNS ASK sa###club.com
- DNS ASK na#####coaching.info
- DNS ASK in####ormeta.world
- DNS ASK qu####oggerbe.com
- DNS ASK jo#####hphotography.com
- DNS ASK qu###yname.xyz
- DNS ASK ms###l-shb.xyz
- DNS ASK 66##53.xyz
Другое
Запускает на исполнение
- '%ProgramFiles%\microsoft office\office14\winword.exe' -Embedding
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\syswow64\wininit.exe'
- '%WINDIR%\syswow64\cmd.exe' del "C:\Users\Public\vbc.exe"
