Техническая информация
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\regsvr32.exe' /S ..\soci1.ocx
- '<SYSTEM32>\regsvr32.exe' /S ..\soci2.ocx
- '<SYSTEM32>\regsvr32.exe' /S ..\soci3.ocx
- '<SYSTEM32>\regsvr32.exe' /S ..\soci4.ocx
Изменения в файловой системе
Создает следующие файлы
- <Текущая директория>\98e61000
Подменяет следующие файлы
- <PATH_SAMPLE>.xls
Сетевая активность
Подключается к
- 'ed####eguros.com.br':443
- 'ea###mach.co.za':80
- 'ea###mach.co.za':443
- 'fi##est.rs':80
- 'ef###stedt.se':80
TCP
Запросы HTTP GET
- http://ea###mach.co.za/libraries/tWkZh9YrXbTd6IeX/
- http://fi##est.rs/wp-admin/Hr9nVNTIHgw59S/
- http://www.fi##est.rs/wp-admin/Hr9nVNTIHgw59S/
- http://ef###stedt.se/5jjaV/w7fLEHJ20xn0qD/
Другие
- 'ed####eguros.com.br':443
- 'ea###mach.co.za':443
UDP
- DNS ASK ed####eguros.com.br
- DNS ASK ea###mach.co.za
- DNS ASK fi##est.rs
- DNS ASK ef###stedt.se
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\regsvr32.exe' /S ..\soci1.ocx' (со скрытым окном)
- '<SYSTEM32>\regsvr32.exe' /S ..\soci2.ocx' (со скрытым окном)
- '<SYSTEM32>\regsvr32.exe' /S ..\soci3.ocx' (со скрытым окном)
- '<SYSTEM32>\regsvr32.exe' /S ..\soci4.ocx' (со скрытым окном)
