Exploit.Siggen.58157

Вредоносные функции

Создает и запускает на исполнение

Создает и запускает на исполнение (эксплоит)

Внедряет код в

следующие системные процессы:

Ищет ветки реестра, отвечающие за хранение паролей сторонними программами

[<HKCU>\Software\LinasFTP\Site Manager]
[<HKCU>\Software\FlashPeak\BlazeFtp\Settings]
[<HKCU>\Software\Ghisler\Total Commander]
[<HKCU>\Software\Far\Plugins\FTP\Hosts]
[<HKCU>\Software\Far2\Plugins\FTP\Hosts]
[<HKCU>\Software\VanDyke\SecureFX]
[<HKLM>\Software\Wow6432Node\NCH Software\Fling\Accounts]
[<HKCU>\Software\NCH Software\Fling\Accounts]
[<HKLM>\Software\Wow6432Node\NCH Software\ClassicFTP\FTPAccounts]
[<HKCU>\Software\NCH Software\ClassicFTP\FTPAccounts]
[<HKCU>\Software\SimonTatham\PuTTY\Sessions]
[<HKLM>\Software\Wow6432Node\SimonTatham\PuTTY\Sessions]
[<HKCU>\Software\Martin Prikryl]
[<HKLM>\Software\Wow6432Node\Martin Prikryl]
[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\Outlook]

Читает файлы, отвечающие за хранение паролей сторонними программами

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\vbc.exe
%TEMP%\ynabttzi.dll
%TEMP%\resa2f8.tmp
%TEMP%\csc59a27a67f27644eb9c11b091fb3a29.tmp
%TEMP%\ynabttzi.out
%TEMP%\ynabttzi.cmdline
%TEMP%\ynabttzi.0.cs
%TEMP%\oh0kkq4o.dll
%TEMP%\res9f9d.tmp
%TEMP%\csc6b676f2c45974d9b84eb16e63927b257.tmp
%TEMP%\oh0kkq4o.out
%TEMP%\oh0kkq4o.cmdline
%TEMP%\oh0kkq4o.0.cs
%LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
%PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
%APPDATA%\e6f983\35a09b.hdb
%PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
%TEMP%\5a4fou2o.dll
%TEMP%\res8416.tmp
%TEMP%\cscd96a4841f1c4f798dc62d34a7a98c2.tmp
%TEMP%\5a4fou2o.out
%TEMP%\5a4fou2o.cmdline
%TEMP%\5a4fou2o.0.cs
%TEMP%\p2o44yuc.dll
%TEMP%\res7f15.tmp
%TEMP%\csccde7925796a64d35ad42341b3b8b3d1.tmp
%TEMP%\p2o44yuc.out
%TEMP%\p2o44yuc.cmdline
%TEMP%\p2o44yuc.0.cs
%TEMP%\ixp000.tmp\tjycmwgduazxzfvjm
%TEMP%\ixp000.tmp\tjycmwgduazxzfvjma5.exe
%PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
%APPDATA%\e6f983\35a09b.lck

Удаляет следующие файлы

Перемещает следующие системные файлы

%WINDIR%\microsoft.net\framework\v4.0.30319\regasm.exe в %APPDATA%\e6f983\35a09b.exe

Подменяет следующие файлы

%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-1960123792-2022915161-3775307078-1001\f58155b4b1d5a524ca0261c3ee99fb50_36d1130a-ac2e-44f7-9dc1-e424fbcbe0ee

Сетевая активность

Подключается к

TCP

Запросы HTTP GET

Запросы HTTP POST

UDP

Другое

Создает и запускает на исполнение

'%TEMP%\ixp000.tmp\tjycmwgduazxzfvjma5.exe'
'%TEMP%\ixp000.tmp\tjycmwgduazxzfvjma5.exe' ' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\p2o44yuc.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7F15.tmp" "%TEMP%\CSCCDE7925796A64D35AD42341B3B8B3D1.TMP"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\5a4fou2o.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES8416.tmp" "%TEMP%\CSCD96A4841F1C4F798DC62D34A7A98C2.TMP"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\oh0kkq4o.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9F9D.tmp" "%TEMP%\CSC6B676F2C45974D9B84EB16E63927B257.TMP"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\ynabttzi.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESA2F8.tmp" "%TEMP%\CSC59A27A67F27644EB9C11B091FB3A29.TMP"' (со скрытым окном)

Запускает на исполнение

'%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
'%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\p2o44yuc.cmdline"
'%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7F15.tmp" "%TEMP%\CSCCDE7925796A64D35AD42341B3B8B3D1.TMP"
'%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\5a4fou2o.cmdline"
'%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES8416.tmp" "%TEMP%\CSCD96A4841F1C4F798DC62D34A7A98C2.TMP"
'%WINDIR%\microsoft.net\framework\v4.0.30319\regasm.exe'
'%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\oh0kkq4o.cmdline"
'%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9F9D.tmp" "%TEMP%\CSC6B676F2C45974D9B84EB16E63927B257.TMP"
'%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\ynabttzi.cmdline"
'%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESA2F8.tmp" "%TEMP%\CSC59A27A67F27644EB9C11B091FB3A29.TMP"