Техническая информация
Вредоносные функции
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\rundll32.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\otpsrodoserw.dll
- %TEMP%\eoooeewiffiooee.tmp
Изменяет следующие файлы
- %TEMP%\msic204f.log
- %TEMP%\aspnetsetup_00000.log
- %TEMP%\dd_wcf_ca_smci_20200611_031056_919.txt
- %TEMP%\microsoft .net framework 4.7.1 setup_20200610_200621826.html
- %TEMP%\msid38c.log
- %TEMP%\microsoft .net framework 4.5.2 setup_20151216_212237215.html
- %TEMP%\msieb217.log
- %TEMP%\dd_wcf_ca_smci_20200611_031101_060.txt
- %TEMP%\jawshtml.html
- %TEMP%\dd_wcf_ca_smci_20151217_052908_497.txt
- %TEMP%\dd_vcredist_x86_20151216210157_000_vcruntimeminimum_x86.log
- %TEMP%\adobearm_notlocked.log
- %TEMP%\dd_setuputility.txt
- %TEMP%\dd_ndp452-kb2901907-x86-x64-allos-enu_decompression_log.txt
- %TEMP%\microsoft visual c++ 2010 x86 redistributable setup_20150506_155226438.html
- %TEMP%\adobesfx.log
- %TEMP%\aspnetsetup_00002.log
Сетевая активность
Подключается к
- '23.##4.226.136':443
- 'microsoft.com':80
- '18#.#91.106.71':443
- 'localhost':22745
- 'localhost':1312
TCP
Запросы HTTP GET
- http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt
Другие
- '23.##4.226.136':443
- '18#.#91.106.71':443
UDP
- DNS ASK microsoft.com
- 'localhost':62876
- 'localhost':52226
Другое
Создает и запускает на исполнение
- '%WINDIR%\syswow64\rundll32.exe' %TEMP%\Otpsrodoserw.dll,start' (со скрытым окном)
- '<SYSTEM32>\rundll32.exe' "<SYSTEM32>\shell32.dll",#61 22745' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\rundll32.exe' %TEMP%\Otpsrodoserw.dll,start
- '<SYSTEM32>\rundll32.exe' "<SYSTEM32>\shell32.dll",#61 22745
