Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\excel\xlstart\33031000
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\regsvr32.exe' /S ..\udh1.ocx
- '<SYSTEM32>\regsvr32.exe' /S ..\udh2.ocx
- '<SYSTEM32>\regsvr32.exe' /S ..\udh3.ocx
- '<SYSTEM32>\regsvr32.exe' /S ..\udh4.ocx
Изменения в файловой системе
Создает следующие файлы
- %HOMEPATH%\documents\vb1e1.tmp
- <Текущая директория>\fa931000
Удаляет следующие файлы
- %TEMP%\vb1e0.tmp
Перемещает следующие файлы
- %HOMEPATH%\documents\vb1e1.tmp в %TEMP%\vb1e0.tmp
Подменяет следующие файлы
- <PATH_SAMPLE>.xls
Сетевая активность
Подключается к
- 're###scape.com':443
- 'ch###sys.com':443
- 'ba####controlbd.com':80
- 'ca##ns.com':80
- 'ab###abans.com':443
TCP
Запросы HTTP GET
- http://ba####controlbd.com/images/GG1d8an/
- http://ca##ns.com/CeudWYRQEzZgrHPcI/yKANkXfH/
Другие
- 're###scape.com':443
- 'ch###sys.com':443
- 'ca##ns.com':443
UDP
- DNS ASK re###scape.com
- DNS ASK ch###sys.com
- DNS ASK ba####controlbd.com
- DNS ASK ca##ns.com
- DNS ASK ab###abans.com
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\regsvr32.exe' /S ..\udh1.ocx' (со скрытым окном)
- '<SYSTEM32>\regsvr32.exe' /S ..\udh2.ocx' (со скрытым окном)
- '<SYSTEM32>\regsvr32.exe' /S ..\udh3.ocx' (со скрытым окном)
- '<SYSTEM32>\regsvr32.exe' /S ..\udh4.ocx' (со скрытым окном)
