Техническая информация
Вредоносные функции
Изменяет следующие настройки браузера Windows Internet Explorer
- [\REGISTRY\USER\S-1-5-21-1238866942-1249195528-555854008-1000\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '1400' = '00000003'
- [\REGISTRY\USER\S-1-5-21-1238866942-1249195528-555854008-1000\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '1C00' = '00000000'
Изменения в файловой системе
Создает следующие файлы
- D:\qbrehsiw\~$<Имя файла>.xlsb
- D:\windows\serviceprofiles\localservice\appdata\local\lastalive1.dat
- D:\programdata\microsoft\officesoftwareprotectionplatform\cache\cache.dat
- D:\windows\system32\config\software
- D:\windows\system32\config\software.log1
- D:\windows\system32\winevt\logs\application.evtx
- D:\windows\system32\winevt\logs\microsoft-windows-networkprofile%4operational.evtx
- D:\windows\system32\config\system
- D:\windows\system32\config\system.log1
- D:\windows\system32\winevt\logs\security.evtx
- D:\windows\system32\winevt\logs\system.evtx
- D:\users\user\appdata\roaming\microsoft\windows\recent\customdestinations\nyvanhc0e09lu79d9mvp.temp
- D:\system volume information\syscache.hve
- D:\windows\serviceprofiles\localservice\appdata\local\lastalive0.dat
- D:\users\user\appdata\local\microsoft\windows\usrclass.dat
- D:\users\user\appdata\local\microsoft\windows\usrclass.dat.log1
- D:\users\user\appdata\roaming\microsoft\office\recent\index.dat
- D:\users\user\appdata\roaming\microsoft\office\recent\<Имя файла>.lnk
- D:\users\user\appdata\local\temp\error025160_01.xml
- D:\users\user\appdata\local\microsoft\windows\<INETFILES>\content.mso\mso4673.tmp
- D:\users\user\ntuser.dat
- D:\users\user\ntuser.dat.log1
- D:\windows\system32\winevt\logs\oalerts.evtx
- D:\system volume information\syscache.hve.log1
- D:\qbrehsiw\5fc41000
Присваивает атрибут 'скрытый' для следующих файлов
- D:\qbrehsiw\~$<Имя файла>.xlsb
- D:\users\user\appdata\roaming\microsoft\office\recent\index.dat
Удаляет следующие файлы
- D:\users\user\appdata\roaming\microsoft\office\recent\<Имя файла>.lnk
Перемещает следующие файлы
- D:\users\user\appdata\roaming\microsoft\windows\recent\customdestinations\nyvanhc0e09lu79d9mvp.temp в D:\users\user\appdata\roaming\microsoft\windows\recent\customdestinations\969252ce11249fdd.customdestinations-ms
- D:\qbrehsiw\5fc41000 в D:\qbrehsiw\<Имя файла>.xlsb
Подменяет следующие файлы
- D:\users\user\appdata\roaming\microsoft\office\recent\<Имя файла>.lnk
Сетевая активность
Подключается к
- '14#.#0.87.163':80
- '5.###.118.198':80
- '91.##4.11.15':80
TCP
Запросы HTTP GET
- http://14#.#0.87.163/44666,6175321759.dat
Другие
- '34.##0.144.191':443
- '34.##1.73.144':443
- '35.##1.9.150':443
Другое
Ищет следующие окна
- ClassName: 'NetUICtrlNotifySink' WindowName: ''
- ClassName: 'REListbox20W' WindowName: ''
- ClassName: 'OfficeTooltip' WindowName: ''
- ClassName: 'MsoCommandBarPopup' WindowName: ''
Создает и запускает на исполнение
- 'D:\windows\system32\regsvr32.exe' /s calc' (со скрытым окном)
- 'D:\windows\system32\regsvr32.exe' C:\ProgramData\Dis.ooccxx' (со скрытым окном)
- 'D:\windows\system32\regsvr32.exe' C:\ProgramData\Disa.ooccxx' (со скрытым окном)
- 'D:\windows\system32\regsvr32.exe' C:\ProgramData\Disb.ooccxx' (со скрытым окном)
