Техническая информация
Вредоносные функции
Загружает
- http://officecdn.microsoft.com/db/5030841d-c919-4594-8d2d-84ae4f96e58e/office/data/v32.cab как %temp%\files\v32.cab
- http://officecdn.microsoft.com/db/492350f6-3a01-4f97-b9c0-c7c6ddf67d60/office/data/v32.cab как %temp%\files\v32.cab
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\files\aria2_oinstall_dln.exe
- %WINDIR%\temp\caba526.tmp
- %WINDIR%\temp\tar8fc2.tmp
- %WINDIR%\temp\cab8fc1.tmp
- %WINDIR%\temp\tar8f91.tmp
- %WINDIR%\temp\cab8f90.tmp
- %WINDIR%\temp\tar7a3b.tmp
- %WINDIR%\temp\cab7a3a.tmp
- %WINDIR%\temp\tar79fb.tmp
- %WINDIR%\temp\cab79fa.tmp
- %WINDIR%\temp\tar64c4.tmp
- %WINDIR%\temp\tara527.tmp
- %WINDIR%\temp\cab64c3.tmp
- %TEMP%\files\$dpx$.tmp\27fc6190495bfe40881d35499ce98bca.tmp
- %TEMP%\files\v32.cab
- %WINDIR%\temp\tar2d5d.tmp
- %WINDIR%\temp\cab2d5c.tmp
- %WINDIR%\temp\tar17f8.tmp
- %WINDIR%\temp\cab17f7.tmp
- %WINDIR%\temp\tar1798.tmp
- %WINDIR%\temp\cab1797.tmp
- %WINDIR%\temp\tar158.tmp
- %WINDIR%\temp\cab157.tmp
- %TEMP%\files\v32.txt
- %TEMP%\files\$dpx$.tmp\3ca69e6a33a0dc438b6d978ed7fc4988.tmp
Удаляет следующие файлы
- %WINDIR%\temp\cab157.tmp
- %WINDIR%\temp\tar8fc2.tmp
- %WINDIR%\temp\cab8fc1.tmp
- %WINDIR%\temp\tar8f91.tmp
- %WINDIR%\temp\cab8f90.tmp
- %WINDIR%\temp\tar7a3b.tmp
- %WINDIR%\temp\cab7a3a.tmp
- %WINDIR%\temp\tar79fb.tmp
- %WINDIR%\temp\cab79fa.tmp
- %WINDIR%\temp\tar64c4.tmp
- %WINDIR%\temp\cab64c3.tmp
- %TEMP%\files\v32.cab
- %TEMP%\files\v32.txt
- %WINDIR%\temp\tar2d5d.tmp
- %WINDIR%\temp\cab2d5c.tmp
- %WINDIR%\temp\tar17f8.tmp
- %WINDIR%\temp\cab17f7.tmp
- %WINDIR%\temp\tar1798.tmp
- %WINDIR%\temp\cab1797.tmp
- %WINDIR%\temp\tar158.tmp
- %WINDIR%\temp\caba526.tmp
- %WINDIR%\temp\tara527.tmp
Перемещает следующие файлы
- %TEMP%\files\$dpx$.tmp\27fc6190495bfe40881d35499ce98bca.tmp в %TEMP%\files\versiondescriptor.xml
- %TEMP%\files\$dpx$.tmp\3ca69e6a33a0dc438b6d978ed7fc4988.tmp в %TEMP%\files\versiondescriptor.xml
Подменяет следующие файлы
- %TEMP%\files\v32.cab
- %TEMP%\files\v32.txt
Сетевая активность
Подключается к
- 'mr########gr.officeapps.live.com':443
- 'officecdn.microsoft.com':80
TCP
Запросы HTTP GET
- http://officecdn.microsoft.com/db/5030841d-c919-4594-8d2d-84ae4f96e58e/Office/Data/v32.cab
- http://officecdn.microsoft.com/db/492350f6-3a01-4f97-b9c0-c7c6ddf67d60/Office/Data/v32.cab
Другие
- 'mr########gr.officeapps.live.com':443
UDP
- DNS ASK mr########gr.officeapps.live.com
- DNS ASK officecdn.microsoft.com
Другое
Создает и запускает на исполнение
- '%TEMP%\files\aria2_oinstall_dln.exe' https://mrodevicemgr.officeapps.live.com/mrodevicemgrsvc/api/v2/C2RReleaseData -over.txt
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -command "& { Get-Content %TEMP%\files\VersionDescriptor.xml | Set-Content -Encoding ASCII v32.txt }
- '%TEMP%\files\aria2_oinstall_dln.exe' https://mrodevicemgr.officeapps.live.com/mrodevicemgrsvc/api/v2/C2RReleaseData -over.txt' (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -command "& { (New-Object Net.WebClient).DownloadFile('http://officecdn.microsoft.com/db/5030841d-c919-4594-8d2d-84ae4f96e58e/Office/Data/v32.cab', '%TEMP%\files\v32.cab') }"' (со скрытым окном)
- '%WINDIR%\syswow64\expand.exe' v32.cab -F:VersionDescriptor.xml %TEMP%\files' (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -command "& { Get-Content %TEMP%\files\VersionDescriptor.xml | Set-Content -Encoding ASCII v32.txt }' (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -command "& { (New-Object Net.WebClient).DownloadFile('http://officecdn.microsoft.com/db/492350f6-3a01-4f97-b9c0-c7c6ddf67d60/Office/Data/v32.cab', '%TEMP%\files\v32.cab') }"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\expand.exe' v32.cab -F:VersionDescriptor.xml %TEMP%\files
