Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%ALLUSERSPROFILE%\Application Data\OfficeSecurity\WinSecu.exe'
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\DelSelf.bat" "
Устанавливает процедуры перхвата сообщений
о нажатии клавиш клавиатуры:
- Библиотека-обработчик для всех процессов: %ALLUSERSPROFILE%\Application Data\OfficeSecurity\FileProt.dll
Изменения в файловой системе:
Создает следующие файлы:
- %ALLUSERSPROFILE%\Application Data\OfficeSecurity\HKCommand.dll
- %ALLUSERSPROFILE%\Application Data\OfficeSecurity\HTUsbD.dll
- %ALLUSERSPROFILE%\Application Data\OfficeSecurity\HKAPI.dll
- %ALLUSERSPROFILE%\Application Data\OfficeSecurity\detoured.dll
- %ALLUSERSPROFILE%\Application Data\OfficeSecurity\LogChain
- %ALLUSERSPROFILE%\Application Data\OfficeSecurity\WinSetting.ini
- %ALLUSERSPROFILE%\Application Data\OfficeSecurity\FileProt.dll
- %ALLUSERSPROFILE%\Application Data\OfficeSecurity\MwUsbD.dll
- %ALLUSERSPROFILE%\Application Data\OfficeSecurity\PPT10.pcb
- %ALLUSERSPROFILE%\Application Data\OfficeSecurity\PPT11.pcb
- %TEMP%\DelSelf.bat
- %ALLUSERSPROFILE%\Application Data\OfficeSecurity\PPT.pcb
- %ALLUSERSPROFILE%\Application Data\OfficeSecurity\WinSecu.exe
- %ALLUSERSPROFILE%\Application Data\OfficeSecurity\Excel.xlb
- %ALLUSERSPROFILE%\Application Data\OfficeSecurity\Normal.dot
- %ALLUSERSPROFILE%\Application Data\OfficeSecurity\__cisisoft__\PPT11.pcb
- %ALLUSERSPROFILE%\Application Data\OfficeSecurity\__cisisoft__\HKCommand.dll
- %ALLUSERSPROFILE%\Application Data\OfficeSecurity\__cisisoft__\HTUsbD.dll
- %ALLUSERSPROFILE%\Application Data\OfficeSecurity\__cisisoft__\HKAPI.dll
- %ALLUSERSPROFILE%\Application Data\OfficeSecurity\__cisisoft__\detoured.dll
- %TEMP%\0001EAD8
- %TEMP%\00047FA5
- %ALLUSERSPROFILE%\Application Data\OfficeSecurity\__cisisoft__\FileProt.dll
- %ALLUSERSPROFILE%\Application Data\OfficeSecurity\__cisisoft__\MwUsbD.dll
- %ALLUSERSPROFILE%\Application Data\OfficeSecurity\__cisisoft__\Normal.dot
- %ALLUSERSPROFILE%\Application Data\OfficeSecurity\__cisisoft__\PPT.pcb
- %ALLUSERSPROFILE%\Application Data\OfficeSecurity\__cisisoft__\PPT10.pcb
- %ALLUSERSPROFILE%\Application Data\OfficeSecurity\__cisisoft__\Excel.xlb
- %ALLUSERSPROFILE%\Application Data\OfficeSecurity\__cisisoft__\WinSecu.exe
- %ALLUSERSPROFILE%\Application Data\OfficeSecurity\__cisisoft__\usr.cer
- %ALLUSERSPROFILE%\Application Data\OfficeSecurity\__cisisoft__\WinSetting.ini
Удаляет следующие файлы:
- %ALLUSERSPROFILE%\Application Data\OfficeSecurity\__cisisoft__\HKCommand.dll
- %ALLUSERSPROFILE%\Application Data\OfficeSecurity\__cisisoft__\HTUsbD.dll
- %ALLUSERSPROFILE%\Application Data\OfficeSecurity\__cisisoft__\FileProt.dll
- %ALLUSERSPROFILE%\Application Data\OfficeSecurity\__cisisoft__\detoured.dll
- %ALLUSERSPROFILE%\Application Data\OfficeSecurity\__cisisoft__\WinSecu.exe
- %ALLUSERSPROFILE%\Application Data\OfficeSecurity\__cisisoft__\usr.cer
- %ALLUSERSPROFILE%\Application Data\OfficeSecurity\__cisisoft__\HKAPI.dll
- %ALLUSERSPROFILE%\Application Data\OfficeSecurity\__cisisoft__\MwUsbD.dll
- %ALLUSERSPROFILE%\Application Data\OfficeSecurity\__cisisoft__\Excel.xlb
- %ALLUSERSPROFILE%\Application Data\OfficeSecurity\__cisisoft__\Normal.dot
- %TEMP%\0001EAD8
- %TEMP%\00047FA5
- %ALLUSERSPROFILE%\Application Data\OfficeSecurity\__cisisoft__\PPT11.pcb
- %ALLUSERSPROFILE%\Application Data\OfficeSecurity\__cisisoft__\WinSetting.ini
- %ALLUSERSPROFILE%\Application Data\OfficeSecurity\__cisisoft__\PPT.pcb
- %ALLUSERSPROFILE%\Application Data\OfficeSecurity\__cisisoft__\PPT10.pcb
Самоудаляется.
Сетевая активность:
Подключается к:
- '<IP-адрес в локальной сети>':12003
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
