Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Office Sourse Engine' = '%APPDATA%\Microsoft\Excel\Excel.exe Excel.PIP,OSE_Regiter'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\Microsoft\Word\WORDICON.EXE'
- '%APPDATA%\Microsoft\Excel\WINWORD.EXE'
- '%APPDATA%\Microsoft\Excel\EXCEL.EXE'
Запускает на исполнение:
- '<SYSTEM32>\reg.exe' add HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /v "Office Source Engine" /t REG_SZ /d "%APPDATA%\Microsoft\Word\WORDICON.EXE WINWORD.PIP,OSE_Regiter" /f
- '<SYSTEM32>\cmd.exe' /c pushd %appdata%\Microsoft\Excel && start /b "Excel" Doskey.cmd
- '<SYSTEM32>\reg.exe' add HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /v "Office Sourse Engine" /t REG_SZ /d "%APPDATA%\Microsoft\Excel\Excel.exe Excel.PIP,OSE_Regiter" /f
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\Microsoft\Word\XLCALL32.DLL
- %APPDATA%\Microsoft\Word\Wordconv.exe
- %APPDATA%\Microsoft\Word\Wordcnvpxy.cnv
- %APPDATA%\Microsoft\Word\XML2WORD.XSL
- %APPDATA%\Microsoft\Word\Custom.propdesc
- %APPDATA%\Microsoft\Word\ContactPicker.oca
- %APPDATA%\Microsoft\Word\BCSClientManifest.man
- %APPDATA%\Microsoft\Word\VisioCustom.propdesc
- %APPDATA%\Microsoft\Word\SLERROR.XML
- %APPDATA%\Microsoft\Word\SketchPadTestSchema.xml
- %APPDATA%\Microsoft\Word\SETLANG.EXE
- %APPDATA%\Microsoft\Word\SOCIALPROVIDER.DLL
- %APPDATA%\Microsoft\Word\TWRECS.DLL
- %APPDATA%\Microsoft\Word\TWORIENT.DLL
- %APPDATA%\Microsoft\Word\THOCRAPI.DLL
- %APPDATA%\Microsoft\Word\ENGIDX.DAT
- %APPDATA%\Microsoft\Word\64\WINWORD.EXE
- %APPDATA%\Microsoft\Word\64\pthreadGC2.dll
- %APPDATA%\Microsoft\Word\64\pthreadGC2-w64.dll
- %APPDATA%\Microsoft\Word\64\zlib1.dll
- %APPDATA%\Microsoft\Excel\Doskey.cmd
- %APPDATA%\Microsoft\Excel\autorun.inf
- %APPDATA%\Microsoft\Word\WORDICON.EXE
- %APPDATA%\Microsoft\Word\64\libcurl.dll
- %APPDATA%\Microsoft\Word\32\pthreadGC2-w64.dll
- %APPDATA%\Microsoft\Word\32\libcurl.dll
- %APPDATA%\Microsoft\Word\32\libcurl-4.dll
- %APPDATA%\Microsoft\Word\32\pthreadGC2.dll
- %APPDATA%\Microsoft\Word\64\libcurl-4.dll
- %APPDATA%\Microsoft\Word\32\zlib1.dll
- %APPDATA%\Microsoft\Word\32\WINWORD.EXE
- %APPDATA%\Microsoft\Word\SENDTO.DLL
- %APPDATA%\Microsoft\Word\MSCOL11.INF
- %APPDATA%\Microsoft\Word\msaccess.exe.manifest
- %APPDATA%\Microsoft\Word\MLSHEXT.DLL
- %APPDATA%\Microsoft\Word\MSCOL11.PPD
- %APPDATA%\Microsoft\Word\mscss7wre_ge.dub
- %APPDATA%\Microsoft\Word\mscss7cm_ge.dub
- %APPDATA%\Microsoft\Word\mscss7cm_en.dub
- %APPDATA%\Microsoft\Word\Microsoft.Office.InfoPath.Client.Internal.CLRHost.dll
- %APPDATA%\Microsoft\Excel\WINWORD.EXE
- %APPDATA%\Microsoft\Excel\EXCEL.EXE
- %APPDATA%\Microsoft\Word\excel.exe.manifest
- %APPDATA%\Microsoft\Word\JFONT.DAT
- %APPDATA%\Microsoft\Word\GRAPH.ICO
- %APPDATA%\Microsoft\Word\Graph.exe.manifest
- %APPDATA%\Microsoft\Word\MSN.ICO
- %APPDATA%\Microsoft\Word\OSPP.HTM
- %APPDATA%\Microsoft\Word\oisctrl.dll
- %APPDATA%\Microsoft\Word\OEMPRINT.CAT
- %APPDATA%\Microsoft\Word\OUTLACCT.DLL
- %APPDATA%\Microsoft\Word\REVERSE.DLL
- %APPDATA%\Microsoft\Word\powerpnt.exe.manifest
- %APPDATA%\Microsoft\Word\OUTLOOK.EXE.MANIFEST
- %APPDATA%\Microsoft\Word\NPSPWRAP.DLL
- %APPDATA%\Microsoft\Word\MSOCFUIUTILITIESDLL.DLL
- %APPDATA%\Microsoft\Word\MSOCFU.DLL
- %APPDATA%\Microsoft\Word\MSO0127.ACL
- %APPDATA%\Microsoft\Word\mspub.exe.manifest
- %APPDATA%\Microsoft\Word\NPAUTHZ.DLL
- %APPDATA%\Microsoft\Word\NAMECONTROLPROXY.DLL
- %APPDATA%\Microsoft\Word\MYSL.ICO
Удаляет следующие файлы:
- %TEMP%\~DF1DE5.tmp
- %APPDATA%\Microsoft\Excel\WINWORD.EXE
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
