Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\services\Microsoft SharePoint Workspace Audit Service] 'ImagePath' = '"%ProgramFiles%\Microsoft Office\Office14\GROOVE.EXE"'
- [HKLM\System\CurrentControlSet\Services\Microsoft SharePoint Workspace Audit Service] 'Start' = '00000002'
Создает следующие сервисы
- 'Microsoft SharePoint Workspace Audit Service' %ProgramFiles%\Microsoft Office\Office14\GROOVE.EXE
Заражает следующие исполняемые файлы
- %ProgramFiles%\microsoft office\office14\groove.exe
Вредоносные функции
Для затруднения выявления своего присутствия в системе
удаляет теневые копии разделов.
Создает и запускает на исполнение (эксплоит)
- '%APPDATA%\oxifvb~1:bin'
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\h8ln77
- C:\msocache\all users\{90140000-0011-0000-0000-0000000ff1ce}-c\proplusww.msi.ge0l0gic_readme
- C:\msocache\all users\{90140000-0011-0000-0000-0000000ff1ce}-c\pkeyconfig-office.xrm-ms.ge0l0gic_readme
- C:\msocache\all users\{90140000-0011-0000-0000-0000000ff1ce}-c\owow64ww.cab.ge0l0gic_readme
- C:\msocache\all users\{90140000-0011-0000-0000-0000000ff1ce}-c\office64ww.xml.ge0l0gic_readme
- C:\msocache\all users\{90140000-0011-0000-0000-0000000ff1ce}-c\office64ww.msi.ge0l0gic_readme
- C:\kms\kms_vl_all_aio_debug.log.ge0l0gic_readme
- C:\kms\kms_vl_all_aio.cmd.ge0l0gic_readme
- C:\config.sys.ge0l0gic_readme
- C:\autoexec.bat.ge0l0gic_readme
- %WINDIR%\temp\ca56e.tmp
- %WINDIR%\temp\wa56f.tmp
- %WINDIR%\temp\r6ba2cd.tmp
- C:\msocache\all users\{90140000-0011-0000-0000-0000000ff1ce}-c\proplusww.xml.ge0l0gic_readme
- %WINDIR%\temp\y7a2ce.tmp
- %WINDIR%\temp\g4i9d4d.tmp
- %WINDIR%\temp\09d4e.tmp
- %WINDIR%\temp\x98b9.tmp
- %WINDIR%\temp\mp98ba.tmp
- %WINDIR%\temp\u90da.tmp
- %WINDIR%\temp\g90ca.tmp
- D:\install.log.ge0l0gic_readme
- %APPDATA%\oxifvb~1:bin
- %APPDATA%\oxifvb~1
- %ProgramFiles%\microsoft office\office14\groove.exe:0
- %TEMP%\t846b.tmp
- %APPDATA%\h8ln77:bin
- %WINDIR%\temp\sia02c.tmp
- %WINDIR%\temp\ixha87d.tmp
Удаляет следующие файлы
- %APPDATA%\h8ln77
- %WINDIR%\temp\u90da.tmp
- %WINDIR%\temp\x98b9.tmp
- %WINDIR%\temp\mp98ba.tmp
- %WINDIR%\temp\g4i9d4d.tmp
- %WINDIR%\temp\09d4e.tmp
- %WINDIR%\temp\sia02c.tmp
- %WINDIR%\temp\r6ba2cd.tmp
- %WINDIR%\temp\y7a2ce.tmp
- %WINDIR%\temp\ca56e.tmp
- %WINDIR%\temp\wa56f.tmp
- %WINDIR%\temp\ixha87d.tmp
- %APPDATA%\oxifvb~1
Изменяет следующие файлы
- D:\install.log
- C:\autoexec.bat
- C:\config.sys
- C:\kms\kms_vl_all_aio.cmd
- C:\kms\kms_vl_all_aio_debug.log
- C:\msocache\all users\{90140000-0011-0000-0000-0000000ff1ce}-c\office64ww.msi
- C:\msocache\all users\{90140000-0011-0000-0000-0000000ff1ce}-c\office64ww.xml
- C:\msocache\all users\{90140000-0011-0000-0000-0000000ff1ce}-c\owow64ww.cab
- C:\msocache\all users\{90140000-0011-0000-0000-0000000ff1ce}-c\pkeyconfig-office.xrm-ms
- C:\msocache\all users\{90140000-0011-0000-0000-0000000ff1ce}-c\proplusww.msi
- C:\msocache\all users\{90140000-0011-0000-0000-0000000ff1ce}-c\proplusww.xml
- C:\msocache\all users\{90140000-0011-0000-0000-0000000ff1ce}-c\propsww.cab
Самоудаляется.
Сетевая активность
Подключается к
- 'ig##.mcast.net':445
UDP
- DNS ASK 1.#.#.#0.in-addr.arpa
- DNS ASK 25#.#.#.10.in-addr.arpa
- DNS ASK 22.#.#.224.in-addr.arpa
- DNS ASK 25#.#.#.224.in-addr.arpa
- DNS ASK 25#.###.#55.255.in-addr.arpa
- DNS ASK ig##.mcast.net
Другое
Создает и запускает на исполнение
- '%APPDATA%\h8ln77:bin' <Полный путь к файлу>
Запускает на исполнение
- '%ProgramFiles%\microsoft office\office14\groove.exe'
- '<SYSTEM32>\arp.exe' -a
- '<SYSTEM32>\nslookup.exe' 10.0.7.1
- '<SYSTEM32>\nslookup.exe' 10.0.7.255
- '<SYSTEM32>\nslookup.exe' 224.0.0.22
- '<SYSTEM32>\nslookup.exe' 224.0.0.252
- '<SYSTEM32>\nslookup.exe' 255.255.255.255
- '<SYSTEM32>\net.exe' view igmp.mcast.net
