(29-06-2017 12:56)adsh писал(а):  MS опубликовал детальный анализ заражения:

_https://blogs.technet.microsoft.com/mmpc/2017/06/27/new-ransomware-old-techniques-petya-adds-worm-capabilities/

Оттуда:
We observed telemetry showing the MEDoc software updater process (EzVit.exe) executing a malicious command-line matching this exact attack pattern on Tuesday, June 27 around 10:30 a.m. GMT.

The execution chain leading to the ransomware installation is represented in the diagram below and essentially confirms that EzVit.exe process from MEDoc, for unknown reasons, at some moment executed the following command-line:

C:\\Windows\\system32\\rundll32.exe\” \”C:\\ProgramData\\perfc.dat\”,#1 30


По телеметрии видно процесс апдейтера Медока (EzVit.exe) выполняющий вредоносную командную строку, совпадающую с паттерном атаки.

Цепочка ввыполнения представлена на рисунке и подтверждает, что по неизвестным причинам процесс EzVit.exe в какой-то момент выполняет команду

C:\\Windows\\system32\\rundll32.exe\” \”C:\\ProgramData\\perfc.dat\”,#1 30

====