Техническая информация
Вредоносные функции
Загружает
- http://officecdn.microsoft.com/pr/492350f6-3a01-4f97-b9c0-c7c6ddf67d60/office/data/v32.cab как %temp%\over659533\v32.cab
- http://officecdn.microsoft.com/pr/492350f6-3a01-4f97-b9c0-c7c6ddf67d60/office/data/v32.cab как %temp%\over994447\v32.cab
- http://officecdn.microsoft.com/pr/492350f6-3a01-4f97-b9c0-c7c6ddf67d60/office/data/v32.cab как %temp%\over580029\v32.cab
- http://officecdn.microsoft.com/pr/492350f6-3a01-4f97-b9c0-c7c6ddf67d60/office/data/v32.cab как %temp%\over829018\v32.cab
- http://officecdn.microsoft.com/pr/492350f6-3a01-4f97-b9c0-c7c6ddf67d60/office/data/v32.cab как %temp%\over259350\v32.cab
Изменения в файловой системе
Создает следующие файлы
- <Текущая директория>\files\setup.exe
- <Текущая директория>\files\files.dat
- <Текущая директория>\files\uninstall.xml
- <Текущая директория>\files\x64\cleanospp.exe
- <Текущая директория>\files\x64\msvcr100.dll
- <Текущая директория>\files\x86\cleanospp.exe
- <Текущая директория>\files\x86\msvcr100.dll
- <Текущая директория>\files\configure.xml
- %TEMP%\over659533\v32.cab
- %TEMP%\over659533\7653548721d74fd1bfca27f566714a2c$dpx$.tmp\a4e345e8246a164aa60ac93a1de4aa53.tmp
- %TEMP%\over659533\v32.txt
- %TEMP%\over994447\v32.cab
- %TEMP%\over994447\a0611ff17377480281906c53d49a1061$dpx$.tmp\629c59419e715b4d97cf7db867c69446.tmp
- %TEMP%\over994447\v32.txt
- %TEMP%\over580029\v32.cab
- %TEMP%\over580029\994577f6f68f4c358a59227058002203$dpx$.tmp\ef73a2d0e144ef48bad4c6aa803d1609.tmp
Перемещает следующие файлы
- %TEMP%\over659533\7653548721d74fd1bfca27f566714a2c$dpx$.tmp\a4e345e8246a164aa60ac93a1de4aa53.tmp в %TEMP%\over659533\versiondescriptor.xml
- %TEMP%\over994447\a0611ff17377480281906c53d49a1061$dpx$.tmp\629c59419e715b4d97cf7db867c69446.tmp в %TEMP%\over994447\versiondescriptor.xml
- %TEMP%\over580029\994577f6f68f4c358a59227058002203$dpx$.tmp\ef73a2d0e144ef48bad4c6aa803d1609.tmp в %TEMP%\over580029\versiondescriptor.xml
Сетевая активность
Подключается к
- 'officecdn.microsoft.com':80
TCP
Запросы HTTP GET
- http://officecdn.microsoft.com/pr/492350f6-3a01-4f97-b9c0-c7c6ddf67d60/Office/Data/v32.cab
UDP
- DNS ASK officecdn.microsoft.com
Другое
Создает и запускает на исполнение
- '<Текущая директория>\files\files.dat' -y -pkmsauto
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -command "& { Get-Content %TEMP%\over659533\VersionDescriptor.xml | Set-Content -Encoding ASCII v32.txt }
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -command "& { Get-Content %TEMP%\over994447\VersionDescriptor.xml | Set-Content -Encoding ASCII v32.txt }
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -command "& { Get-Content %TEMP%\over580029\VersionDescriptor.xml | Set-Content -Encoding ASCII v32.txt }
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c WMIC /NAMESPACE:\\root\Microsoft\Windows\Defender PATH MSFT_MpPreference call Add ExclusionPath="<Полный путь к файлу>" (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' /NAMESPACE:\\root\Microsoft\Windows\Defender PATH MSFT_MpPreference call Add ExclusionPath="<Полный путь к файлу>"
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows Script Host\Settings" /v Enabled /t REG_DWORD /d 1 /f (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c WMIC /NAMESPACE:\\root\Microsoft\Windows\Defender PATH MSFT_MpPreference call Add ExclusionPath="<Текущая директория>\files" (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' /NAMESPACE:\\root\Microsoft\Windows\Defender PATH MSFT_MpPreference call Add ExclusionPath="<Текущая директория>\files"
- '<SYSTEM32>\cmd.exe' /D /c files.dat -y -pkmsauto (со скрытым окном)
- '%WINDIR%\syswow64\expand.exe' v32.cab -F:VersionDescriptor.xml %TEMP%\over659533 (со скрытым окном)
- '%WINDIR%\syswow64\expand.exe' v32.cab -F:VersionDescriptor.xml %TEMP%\over994447 (со скрытым окном)
- '%WINDIR%\syswow64\expand.exe' v32.cab -F:VersionDescriptor.xml %TEMP%\over580029 (со скрытым окном)
- '%WINDIR%\syswow64\expand.exe' v32.cab -F:VersionDescriptor.xml %TEMP%\over829018 (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -command "& { Get-Content %TEMP%\over829018\VersionDescriptor.xml | Set-Content -Encoding ASCII v32.txt } (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -command "& { (New-Object Net.WebClient).DownloadFile('http://officecdn.microsoft.com/pr/492350f6-3a01-4f97-b9c0-c7c6ddf67d60/Office/Data/v32.cab', '%TEMP%\over659533\v32.cab') }" (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -command "& { Get-Content %TEMP%\over659533\VersionDescriptor.xml | Set-Content -Encoding ASCII v32.txt } (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -command "& { (New-Object Net.WebClient).DownloadFile('http://officecdn.microsoft.com/pr/492350f6-3a01-4f97-b9c0-c7c6ddf67d60/Office/Data/v32.cab', '%TEMP%\over994447\v32.cab') }" (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -command "& { Get-Content %TEMP%\over994447\VersionDescriptor.xml | Set-Content -Encoding ASCII v32.txt } (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -command "& { (New-Object Net.WebClient).DownloadFile('http://officecdn.microsoft.com/pr/492350f6-3a01-4f97-b9c0-c7c6ddf67d60/Office/Data/v32.cab', '%TEMP%\over580029\v32.cab') }" (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -command "& { Get-Content %TEMP%\over580029\VersionDescriptor.xml | Set-Content -Encoding ASCII v32.txt } (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -command "& { (New-Object Net.WebClient).DownloadFile('http://officecdn.microsoft.com/pr/492350f6-3a01-4f97-b9c0-c7c6ddf67d60/Office/Data/v32.cab', '%TEMP%\over829018\v32.cab') }" (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -command "& { (New-Object Net.WebClient).DownloadFile('http://officecdn.microsoft.com/pr/492350f6-3a01-4f97-b9c0-c7c6ddf67d60/Office/Data/v32.cab', '%TEMP%\over259350\v32.cab') }" (со скрытым окном)
