Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'AVM' = '%WINDIR%\avm.vbs'
Вредоносные функции
Создает и запускает на исполнение (эксплоит)
- '<SYSTEM32>\wscript.exe' c:\happy.vbs
- '<SYSTEM32>\wscript.exe' c:\a4.vbs
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами
- [HKCU\Software\Microsoft\Internet Account Manager]
- [HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\Outlook]
- [HKLM\Software\Microsoft\Windows Mail]
- [HKCU\Software\Microsoft\Windows Mail]
Изменения в файловой системе
Создает следующие файлы
- C:\happy.vbs
- C:\a4.vbs
- %LOCALAPPDATA%\microsoft\forms\frmdata64.dat
- %TEMP%\outlook logging\firstrun.log
- %WINDIR%\inf\outlook\outlperf.h
- %WINDIR%\inf\outlook\0009\outlperf.ini
- %WINDIR%\avm.vbs
Изменяет следующие файлы
- %ProgramFiles%\microsoft office\office14\ospp.vbs
Сетевая активность
TCP
Другие
- '34.##9.100.209':443
Другое
Ищет следующие окна
- ClassName: 'mspim_wnd32' WindowName: 'Microsoft Outlook'
- ClassName: 'rencat' WindowName: ''
Запускает на исполнение
- '%ProgramFiles%\microsoft office\office14\outlook.exe' -Embedding
- '<SYSTEM32>\wscript.exe' c:\happy.vbs (со скрытым окном)
- '<SYSTEM32>\wscript.exe' c:\a4.vbs (со скрытым окном)
