Техническая информация
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /F /IM winword.exe
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\cmd.exe' /C CmD < "%TEMP%\ufFm.cMD"
- '%CommonProgramFiles%\Microsoft Shared\DW\DW20.EXE' -x -s 1472
Внедряет код в
следующие пользовательские процессы:
- calc.scr
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\uffm.cmd
- %TEMP%\mt6nzqofd.cmd
- %TEMP%\a.sct
- %TEMP%\zip.zip
- %TEMP%\_.vbs
- %TEMP%\calc.scr
- %TEMP%\1117669.cvr
- %HOMEPATH%\.exe
Присваивает атрибут 'скрытый' для следующих файлов
- %HOMEPATH%\.exe
Удаляет следующие файлы
- %TEMP%\1117669.cvr
- %TEMP%\_.vbs
- %TEMP%\zip.zip
- %TEMP%\a.sct
- %TEMP%\mt6nzqofd.cmd
- %TEMP%\calc.scr
Сетевая активность
UDP
- DNS ASK ng##h.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '<SYSTEM32>\cscript.exe' //nologo "%TEMP%\_.vbs"
- '%TEMP%\calc.scr'
- '<SYSTEM32>\cmd.exe' /C CmD < "%TEMP%\ufFm.cMD"' (со скрытым окном)
- '%WINDIR%\syswow64\schtasks.exe' /create /tn /tr "%HOMEPATH%\\.exe" /sc minute /mo 1 /F' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe'
- '<SYSTEM32>\reg.exe' QUERY "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Office\16.0\Word\File MRU" /v "Item 1"
- '<SYSTEM32>\cmd.exe' /c REG QUERY "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Office\16.0\Word\File MRU" /v "Item 1"
- '<SYSTEM32>\reg.exe' delete HKEY_CURRENT_USER\SOFTWARE\Microsoft\Office\16.0\Word\Resiliency /f
- '<SYSTEM32>\reg.exe' QUERY "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Office\15.0\Word\File MRU" /v "Item 1"
- '<SYSTEM32>\cmd.exe' /c REG QUERY "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Office\15.0\Word\File MRU" /v "Item 1"
- '<SYSTEM32>\reg.exe' delete HKEY_CURRENT_USER\SOFTWARE\Microsoft\Office\15.0\Word\Resiliency /f
- '<SYSTEM32>\reg.exe' QUERY "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Office\14.0\Word\File MRU" /v "Item 1"
- '<SYSTEM32>\cmd.exe' /c REG QUERY "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Office\14.0\Word\File MRU" /v "Item 1"
- '<SYSTEM32>\reg.exe' delete HKEY_CURRENT_USER\SOFTWARE\Microsoft\Office\14.0\Word\Resiliency /f
- '<SYSTEM32>\cmd.exe' /c dir /b /a-d /o-d
- '<SYSTEM32>\reg.exe' QUERY "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Office\13.0\Word\File MRU" /v "Item 1"
- '<SYSTEM32>\reg.exe' delete HKEY_CURRENT_USER\SOFTWARE\Microsoft\Office\13.0\Word\Resiliency /f
- '<SYSTEM32>\reg.exe' QUERY "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Office\12.0\Word\File MRU" /v "Item 1"
- '<SYSTEM32>\cmd.exe' /c REG QUERY "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Office\12.0\Word\File MRU" /v "Item 1"
- '<SYSTEM32>\reg.exe' delete HKEY_CURRENT_USER\SOFTWARE\Microsoft\Office\12.0\Word\Resiliency /f
- '<SYSTEM32>\reg.exe' QUERY "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Office\11.0\Word\File MRU" /v "Item 1"
- '<SYSTEM32>\cmd.exe' /c REG QUERY "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Office\11.0\Word\File MRU" /v "Item 1"
- '<SYSTEM32>\reg.exe' delete HKEY_CURRENT_USER\SOFTWARE\Microsoft\Office\11.0\Word\Resiliency /f
- '<SYSTEM32>\timeout.exe' /T 1
- '<SYSTEM32>\cmd.exe' /K mt6nzqofd.CmD ""
- '<SYSTEM32>\cmd.exe' /c REG QUERY "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Office\13.0\Word\File MRU" /v "Item 1"
- '%WINDIR%\syswow64\schtasks.exe' /create /tn /tr "%HOMEPATH%\\.exe" /sc minute /mo 1 /F
