Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\excel\xlstart\bf411000
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\regsvr32.exe' /S ..\udh1.ocx
- '<SYSTEM32>\regsvr32.exe' /S ..\udh2.ocx
- '<SYSTEM32>\regsvr32.exe' /S ..\udh3.ocx
- '<SYSTEM32>\regsvr32.exe' /S ..\udh4.ocx
Изменения в файловой системе
Создает следующие файлы
- %HOMEPATH%\documents\vb3707.tmp
- <Текущая директория>\33811000
Удаляет следующие файлы
- %TEMP%\vb3706.tmp
Перемещает следующие файлы
- %HOMEPATH%\documents\vb3707.tmp в %TEMP%\vb3706.tmp
Подменяет следующие файлы
- <PATH_SAMPLE>.xls
Сетевая активность
Подключается к
- 're###scape.com':443
- 'ch###sys.com':443
- 'x1.#.lencr.org':80
- 'ba####controlbd.com':80
- 'ca##ns.com':80
- 'ab###abans.com':443
TCP
Запросы HTTP GET
- http://x1.#.lencr.org/
- http://ba####controlbd.com/images/GG1d8an/
- http://ca##ns.com/CeudWYRQEzZgrHPcI/yKANkXfH/
Другие
- 're###scape.com':443
- 'ch###sys.com':443
- 'ca##ns.com':443
UDP
- DNS ASK re###scape.com
- DNS ASK ch###sys.com
- DNS ASK x1.#.lencr.org
- DNS ASK ba####controlbd.com
- DNS ASK ca##ns.com
- DNS ASK ab###abans.com
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\regsvr32.exe' /S ..\udh1.ocx' (со скрытым окном)
- '<SYSTEM32>\regsvr32.exe' /S ..\udh2.ocx' (со скрытым окном)
- '<SYSTEM32>\regsvr32.exe' /S ..\udh3.ocx' (со скрытым окном)
- '<SYSTEM32>\regsvr32.exe' /S ..\udh4.ocx' (со скрытым окном)
