Техническая информация
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\regsvr32.exe' /S ..\soci1.ocx
- '<SYSTEM32>\regsvr32.exe' /S ..\soci2.ocx
- '<SYSTEM32>\regsvr32.exe' /S ..\soci3.ocx
- '<SYSTEM32>\regsvr32.exe' /S ..\soci4.ocx
Изменения в файловой системе
Создает следующие файлы
- <Текущая директория>\f1cc0000
Подменяет следующие файлы
- <PATH_SAMPLE>.xls
Сетевая активность
Подключается к
- 'fi####.mipa.uns.ac.id':80
- 'gr###oconut.com':80
- 'zo####formatica.es':80
- 'ba####magazine.ro':80
TCP
Запросы HTTP GET
- http://fi####.mipa.uns.ac.id/reseller/img/nRAvAgoY8Y/
- http://gr###oconut.com/edm/71qUA/
- http://www.gr###oconut.com/
- http://zo####formatica.es/tienda/XCHJmidSYTkE/
- http://ba####magazine.ro/wp-content/9VrMPV/
UDP
- DNS ASK fi####.mipa.uns.ac.id
- DNS ASK gr###oconut.com
- DNS ASK zo####formatica.es
- DNS ASK ba####magazine.ro
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\regsvr32.exe' /S ..\soci1.ocx' (со скрытым окном)
- '<SYSTEM32>\regsvr32.exe' /S ..\soci2.ocx' (со скрытым окном)
- '<SYSTEM32>\regsvr32.exe' /S ..\soci3.ocx' (со скрытым окном)
- '<SYSTEM32>\regsvr32.exe' /S ..\soci4.ocx' (со скрытым окном)
