Техническая информация
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\regsvr32.exe' /S ..\scd1.ocx
- '<SYSTEM32>\regsvr32.exe' /S ..\scd2.ocx
- '<SYSTEM32>\regsvr32.exe' /S ..\scd3.ocx
- '<SYSTEM32>\regsvr32.exe' /S ..\scd4.ocx
Изменения в файловой системе
Создает следующие файлы
- <Текущая директория>\40b21000
Подменяет следующие файлы
- <PATH_SAMPLE>.xls
Сетевая активность
Подключается к
- 'km##o.us':80
- 'tr####.pkn2.go.th':80
- 'tr####.pkn2.go.th':443
- 'tr###t.co.jp':80
- 'tr##t.cz':80
TCP
Запросы HTTP GET
- http://km##o.us/cgi-bin/D/
- http://tr####.pkn2.go.th/img/AMqX1nFdEOnmk/
- http://tr###t.co.jp/css/itmXV55DnDn8MyXdeE8/
- http://tr##t.cz/sqluploads/qt0ExthG2Nnz/
Другие
- 'tr####.pkn2.go.th':443
UDP
- DNS ASK km##o.us
- DNS ASK tr####.pkn2.go.th
- DNS ASK tr###t.co.jp
- DNS ASK tr##t.cz
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\regsvr32.exe' /S ..\scd1.ocx' (со скрытым окном)
- '<SYSTEM32>\regsvr32.exe' /S ..\scd2.ocx' (со скрытым окном)
- '<SYSTEM32>\regsvr32.exe' /S ..\scd3.ocx' (со скрытым окном)
- '<SYSTEM32>\regsvr32.exe' /S ..\scd4.ocx' (со скрытым окном)
