Техническая информация
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\regsvr32.exe' /S ..\oadw1.ocx
- '<SYSTEM32>\regsvr32.exe' /S ..\oadw2.ocx
- '<SYSTEM32>\regsvr32.exe' /S ..\oadw.ocx
- '<SYSTEM32>\regsvr32.exe' /S ..\oadw4.ocx
Изменения в файловой системе
Создает следующие файлы
- <Текущая директория>\3a261000
Подменяет следующие файлы
- <PATH_SAMPLE>.xls
Сетевая активность
Подключается к
- 'cl##aero.nl':80
- 'cm#v.cv':80
- 'gr#####lleyschool.com':443
- 'co##c.dk':80
TCP
Запросы HTTP GET
- http://cl##aero.nl/cJJLfpp27Ze5DuC2/TENAeuVUB/
- http://cm#v.cv/dol/VIkPf1vZMlMnYEsL9B/
- http://co##c.dk/flash/qQcUf0fyCEMi87Eu1Hg/
Другие
- 'gr#####lleyschool.com':443
UDP
- DNS ASK cl##aero.nl
- DNS ASK cm#v.cv
- DNS ASK gr#####lleyschool.com
- DNS ASK co##c.dk
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\regsvr32.exe' /S ..\oadw1.ocx' (со скрытым окном)
- '<SYSTEM32>\regsvr32.exe' /S ..\oadw2.ocx' (со скрытым окном)
- '<SYSTEM32>\regsvr32.exe' /S ..\oadw.ocx' (со скрытым окном)
- '<SYSTEM32>\regsvr32.exe' /S ..\oadw4.ocx' (со скрытым окном)
