Кіберполіція: вірусна атака поширювалась через M.E.doc

На даний момент попередньо відомо, що вірусна атака на українські компанії виникла через програму “M.E.doc.” (програмне забезпечення для звітності та документообігу) – повідомляють в Кіберполіції.

Це програмне забезпечення має вбудовану функцію оновлення, яка періодично звертається до серверу: “upd.me-doc.com.ua” (92.60.184.55) за допомогою User Agent “medoc1001189”.

Оновлення має хеш: dba9b41462c835a4c52f705e88ea0671f4c72761893ffad79b8348f57e84ba54.

Більшість легітимних «пінгів» (звернень до серверу) дорівнює приблизно 300 байт.

27 червня 2017 року, о 10.30, програму M.E.doc. було оновлено. Оновлення складало приблизно 333кб, і після завантаження відбувались наступні дії:

– створювався файл: rundll32.exe;

– відбувалось звернення до локальних IP-адрес на порт 139 TCP та порт 445 TCP;

– створювався файлу: perfc.bat;

– запускався cmd.exe з командою: /c schtasks /RU “SYSTEM” /Create /SC once /TN “” /TR “C:Windowssystem32shutdown.exe /r /f” /ST 14:35”;

– створювався файл: ac3.tmp (02ef73bd2458627ed7b397ec26ee2de2e92c71a0e7588f78734761d8edbdcd9f) та його подальший запуск;

– створювався файл: dllhost.dat.

В подальшому, шкідливе програмне забезпечення розповсюджувалось за допомогою вразливості у протоколі SMB (яка також використовувалась під час атак WannaCry).

В Кіберполіції рекомендують не застосовувати оновлення, які пропонує програмне забезпечення «M.E.doc.» при запуску.