Техническая информация
Вредоносные функции
Создает и запускает на исполнение (эксплоит)
- '%TEMP%\s3.tmp'
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\byfe.rtf
- %TEMP%\jwud.rtf
- %TEMP%\s3.tmp
Удаляет следующие файлы
- %TEMP%\s3.tmp
Сетевая активность
Подключается к
- 'ap#.#pify.org':80
- 'kr######g3u4npcg.onion.to':443
TCP
Запросы HTTP GET
- http://ap#.#pify.org/
UDP
- DNS ASK ap#.#pify.org
- DNS ASK ha###nawass.com
- DNS ASK ro###nreswi.ru
- DNS ASK mi###fitons.ru
- DNS ASK kr######g3u4npcg.onion.to
Другое
Ищет следующие окна
- ClassName: ' Г§' WindowName: ' Г§'
- ClassName: '' WindowName: ''
- ClassName: 'SysCredential' WindowName: ''
- ClassName: 'BUTTON' WindowName: '&Remember my password'
- ClassName: 'ComboBoxEx32' WindowName: ''
- ClassName: 'Edit' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\s3.tmp' ' (со скрытым окном)
Запускает на исполнение
- '%ProgramFiles%\microsoft office\office14\winword.exe' /Automation -Embedding
