Exploit.Siggen.58123

Добавлен в вирусную базу Dr.Web: 2020-01-30

Описание добавлено: 2020-02-01

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'UDP Subsystem' = '%ProgramFiles(x86)%\UDP Subsystem\udpss.exe'

Вредоносные функции

Создает и запускает на исполнение

Создает и запускает на исполнение (эксплоит)

Внедряет код в

следующие системные процессы:

Ищет ветки реестра, отвечающие за хранение паролей сторонними программами

[<HKCU>\Software\Microsoft\Office\Outlook\OMI Account Manager\Accounts]
[<HKCU>\Identities\{91255D00-95D9-49F5-8E84-7C027F5283B7}\Software\Microsoft\Internet Account Manager\Accounts]
[<HKCU>\Identities\{91255D00-95D9-49F5-8E84-7C027F5283B7}\Software\Microsoft\Office\Outlook\OMI Account Manager\Accounts]
[<HKCU>\Software\Microsoft\MSNMessenger]
[<HKCU>\Software\Yahoo\Pager]
[<HKCU>\Software\Microsoft\IdentityCRL]
[<HKCU>\Software\Microsoft\Windows Live Mail]

Читает файлы, отвечающие за хранение паролей сторонними программами

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\vbc.exe
%TEMP%\2dncrdod.0.cs
%TEMP%\2dncrdod.cmdline
%TEMP%\2dncrdod.out
%TEMP%\csc6cf5eecfbca7484fbac5a46aa9d0e365.tmp
%TEMP%\res76d8.tmp
%TEMP%\2dncrdod.dll
%APPDATA%\36d1130a-ac2e-44f7-9dc1-e424fbcbe0ee\run.dat
%APPDATA%\36d1130a-ac2e-44f7-9dc1-e424fbcbe0ee\catalog.dat
%LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
%APPDATA%\36d1130a-ac2e-44f7-9dc1-e424fbcbe0ee\storage.dat
%APPDATA%\36d1130a-ac2e-44f7-9dc1-e424fbcbe0ee\settings.bin
%APPDATA%\36d1130a-ac2e-44f7-9dc1-e424fbcbe0ee\settings.bak
%TEMP%\dwovzzvr.stu
%PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
%PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
%PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
%TEMP%\ojw0oqfr.dll
%ProgramFiles(x86)%\udp subsystem\udpss.exe
%TEMP%\res711b.tmp
%TEMP%\my0xkhpy.dll
%TEMP%\ixp000.tmp\amzjunnegjerikjzma5.exe
%TEMP%\ixp000.tmp\amzjunnegjerikjzm
%TEMP%\my0xkhpy.0.cs
%TEMP%\my0xkhpy.cmdline
%TEMP%\my0xkhpy.out
%TEMP%\cscabbeb821d09b4a3e9c32ccddb0c8e387.tmp
%TEMP%\res4a97.tmp
%TEMP%\2p02e3z5.0.cs
%TEMP%\ojw0oqfr.out
%TEMP%\2p02e3z5.cmdline
%TEMP%\2p02e3z5.out
%TEMP%\csc33dedca33be24dd4a27c4be1597940af.tmp
%TEMP%\res541d.tmp
%TEMP%\2p02e3z5.dll
%TEMP%\ojw0oqfr.0.cs
%TEMP%\ojw0oqfr.cmdline
%TEMP%\cscde5ad6904a94d06a9a7eb2583364a33.tmp
%TEMP%\0qo345nr.4oo

Удаляет следующие файлы

Сетевая активность

TCP

Запросы HTTP GET

'18#.#44.30.251':83

UDP

Другое

Создает и запускает на исполнение

'%TEMP%\ixp000.tmp\amzjunnegjerikjzma5.exe'
'%TEMP%\ixp000.tmp\amzjunnegjerikjzma5.exe' ' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\my0xkhpy.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4A97.tmp" "%TEMP%\CSCABBEB821D09B4A3E9C32CCDDB0C8E387.TMP"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\2p02e3z5.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES541D.tmp" "%TEMP%\CSC33DEDCA33BE24DD4A27C4BE1597940AF.TMP"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\ojw0oqfr.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES711B.tmp" "%TEMP%\CSCDE5AD6904A94D06A9A7EB2583364A33.TMP"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\2dncrdod.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES76D8.tmp" "%TEMP%\CSC6CF5EECFBCA7484FBAC5A46AA9D0E365.TMP"' (со скрытым окном)

Запускает на исполнение

'%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
'%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\my0xkhpy.cmdline"
'%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4A97.tmp" "%TEMP%\CSCABBEB821D09B4A3E9C32CCDDB0C8E387.TMP"
'%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\2p02e3z5.cmdline"
'%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES541D.tmp" "%TEMP%\CSC33DEDCA33BE24DD4A27C4BE1597940AF.TMP"
'%WINDIR%\microsoft.net\framework\v4.0.30319\regasm.exe'
'%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\ojw0oqfr.cmdline"
'%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES711B.tmp" "%TEMP%\CSCDE5AD6904A94D06A9A7EB2583364A33.TMP"
'%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\2dncrdod.cmdline"
'%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES76D8.tmp" "%TEMP%\CSC6CF5EECFBCA7484FBAC5A46AA9D0E365.TMP"
'%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /shtml "%TEMP%\dwovzzvr.stu"
'%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe' /shtml "%TEMP%\0qo345nr.4oo"