Техническая информация
Вредоносные функции
Загружает
- https://mrodevicemgr.officeapps.live.com/mrodevicemgrsvc/api/v2/c2rreleasedata как %temp%\files\ver.txt
- http://officecdn.microsoft.com/db/5030841d-c919-4594-8d2d-84ae4f96e58e/office/data/v32.cab как %temp%\files\v32.cab
- http://officecdn.microsoft.com/db/492350f6-3a01-4f97-b9c0-c7c6ddf67d60/office/data/v32.cab как %temp%\files\v32.cab
Изменения в файловой системе
Создает следующие файлы
- <Текущая директория>\office installer.ini
- %TEMP%\files\v32.cab
- %TEMP%\files\$dpx$.tmp\45f57e863899c14ca17a7c322e0e1643.tmp
- %TEMP%\files\v32.txt
- %TEMP%\files\$dpx$.tmp\3fef30fe6187c74a9ed00854531ebe9e.tmp
Удаляет следующие файлы
- %TEMP%\files\v32.txt
- %TEMP%\files\v32.cab
Перемещает следующие файлы
- %TEMP%\files\$dpx$.tmp\45f57e863899c14ca17a7c322e0e1643.tmp в %TEMP%\files\versiondescriptor.xml
- %TEMP%\files\$dpx$.tmp\3fef30fe6187c74a9ed00854531ebe9e.tmp в %TEMP%\files\versiondescriptor.xml
Подменяет следующие файлы
- %TEMP%\files\v32.cab
- %TEMP%\files\v32.txt
Сетевая активность
Подключается к
- 'mr########gr.officeapps.live.com':443
- 'officecdn.microsoft.com':80
TCP
Запросы HTTP GET
- http://officecdn.microsoft.com/db/5030841d-c919-4594-8d2d-84ae4f96e58e/Office/Data/v32.cab
- http://officecdn.microsoft.com/db/492350f6-3a01-4f97-b9c0-c7c6ddf67d60/Office/Data/v32.cab
Другие
- 'mr########gr.officeapps.live.com':443
UDP
- DNS ASK mr########gr.officeapps.live.com
- DNS ASK officecdn.microsoft.com
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -command "& { Get-Content %TEMP%\files\VersionDescriptor.xml | Set-Content -Encoding ASCII v32.txt }
Запускает на исполнение
- '<SYSTEM32>\reg.exe' add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Script Host\Settings" /v "Enabled" /t REG_DWORD /d 1 /f (со скрытым окном)
- '<SYSTEM32>\expand.exe' v32.cab -F:VersionDescriptor.xml %TEMP%\files (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -nop -command "& { (New-Object Net.WebClient).DownloadFile('https://mrodevicemgr.officeapps.live.com/mrodevicemgrsvc/api/v2/C2RReleaseData', '%TEMP%\files\ver.txt') }" (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -nop -c "$Tls12 = [Enum]::ToObject([System.Net.SecurityProtocolType], 3072); [System.Net.ServicePointManager]::SecurityProtocol = $Tls12; (New-Object Net.WebClient).DownloadFile('https://mrodev... (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -command "& { (New-Object Net.WebClient).DownloadFile('http://officecdn.microsoft.com/db/5030841d-c919-4594-8d2d-84ae4f96e58e/Office/Data/v32.cab', '%TEMP%\files\v32.cab') }" (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -command "& { Get-Content %TEMP%\files\VersionDescriptor.xml | Set-Content -Encoding ASCII v32.txt } (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -command "& { (New-Object Net.WebClient).DownloadFile('http://officecdn.microsoft.com/db/492350f6-3a01-4f97-b9c0-c7c6ddf67d60/Office/Data/v32.cab', '%TEMP%\files\v32.cab') }" (со скрытым окном)
