Exploit.Siggen.35748

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'WindowsUpdate' = '%TEMP%\79222985\oupgds.pif %TEMP%\79222985\xrxsqgou.xgh'

Вредоносные функции

Создает и запускает на исполнение

'' (загружен из сети Интернет)

Создает и запускает на исполнение (эксплоит)

'%PROGRAMDATA%\vbc.exe'

Внедряет код в

следующие пользовательские процессы:

regsvcs.exe

Ищет ветки реестра, отвечающие за хранение паролей сторонними программами

[<HKCU>\Software\RimArts\B2\Settings]
[<HKCU>\SOFTWARE\Martin Prikryl\WinSCP 2\Sessions]
[<HKCU>\Software\FTPWare\COREFTP\Sites]

Читает файлы, отвечающие за хранение паролей сторонними программами

%APPDATA%\thunderbird\profiles.ini
%LOCALAPPDATA%\google\chrome\user data\default\cookies

Изменения в файловой системе

Создает следующие файлы

%PROGRAMDATA%\vbc.exe
%TEMP%\79222985\ghwcff.ico
%TEMP%\79222985\iuvamo.log
%TEMP%\79222985\hbodq.mp3
%TEMP%\79222985\bhdijhtb.ico
%TEMP%\79222985\pchjvml.log
%TEMP%\79222985\kwnjxpfdd.jpg
%TEMP%\79222985\rlsqed.bin
%TEMP%\79222985\vflvhqwa.ppt
%TEMP%\79222985\aixop.msc
%TEMP%\79222985\smthqn.cpl
%TEMP%\79222985\nerkqelx.ini
%TEMP%\79222985\xbrhdo.jpg
%TEMP%\79222985\uqmndbxhmo.exe
%TEMP%\79222985\fpekd.bmp
%TEMP%\79222985\ggbbxv.dll
%TEMP%\79222985\xumfhtw.bmp
%TEMP%\79222985\ucdtiufx.ico
%TEMP%\79222985\wnpxa.docx
%APPDATA%\fyklfijr.kyb\firefox\profiles\gn7ryp3k.default\cookies.sqlite
%APPDATA%\fyklfijr.kyb\opera\cookies
%APPDATA%\fyklfijr.kyb\chrome\default\cookies
%LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
%PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
%PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
%PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
%TEMP%\regsvcs.exe
%HOMEPATH%\temp\ibfmlh.exe
%TEMP%\79222985\ndwc.icm
%TEMP%\79222985\mubwgv.dll
%TEMP%\79222985\hobojrisg.xml
%TEMP%\79222985\sfvebtcgdj.txt
%TEMP%\79222985\qorr.msc
%TEMP%\79222985\hlgdhicv.bmp
%TEMP%\79222985\rmvqnx.dll
%APPDATA%\fyklfijr.kyb\thunderbird\profiles\wjj9aet2.default\cookies.sqlite
%TEMP%\79222985\fdljhpggq.bin
%TEMP%\79222985\ipavkbw.icm
%TEMP%\79222985\jkejeqqnpq.docx
%TEMP%\79222985\njdk.log
%TEMP%\79222985\brxrbhu.pdf
%TEMP%\79222985\cpldcgjc.ini
%TEMP%\79222985\qgmiew.ppt
%TEMP%\79222985\rgbkktwcsm.msc
%TEMP%\79222985\urdgnguv.bin
%TEMP%\79222985\gwiidg.docx
%TEMP%\79222985\rgkrveiji.dat
%TEMP%\79222985\kcen.ini
%TEMP%\79222985\vedkn.xml
%TEMP%\79222985\oupgds.pif
%TEMP%\79222985\xrxsqgou.xgh
%TEMP%\79222985\ibfmlh.exe
%TEMP%\79222985\sqbgxqcwoh.msc
%TEMP%\79222985\tedvplqas.dll
%TEMP%\79222985\acieq.bin
%TEMP%\79222985\kqshgg.bin
%TEMP%\79222985\lkoqua.bin
%TEMP%\79222985\mlxabb.cpl
%TEMP%\79222985\xevlepem.msc
%TEMP%\79222985\lxwe.pdf
%TEMP%\79222985\bivltf.ini
%TEMP%\79222985\qakukc.ico
%TEMP%\79222985\qdvqmgpx.pdf
%TEMP%\79222985\nrnidcdv.cpl
%TEMP%\79222985\flsmagufn.pdf
%TEMP%\79222985\eonjephh.icm
%TEMP%\79222985\hbejd.ico
%TEMP%\79222985\kdholk.xl
%TEMP%\79222985\rtbbjn.exe
%TEMP%\79222985\xjidm.exe
%TEMP%\79222985\dgserjsj.dat
%TEMP%\79222985\atceg.ini
%APPDATA%\fyklfijr.kyb.zip