Exploit.Siggen2.7109

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'Load' = '%LOCALAPPDATA%\Browser\reg32.exe�'

Вредоносные функции

Создает и запускает на исполнение

'' (загружен из сети Интернет)

Создает и запускает на исполнение (эксплоит)

'%APPDATA%\vbc.exe'

Внедряет код в

следующие системные процессы:

%WINDIR%\syswow64\cmd.exe

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\vbc.exe
%TEMP%\inetpub\subject\backups\36.opends60.dll
%TEMP%\inetpub\subject\backups\csspkgui.dll
%TEMP%\inetpub\subject\backups\x-ole-storage.xml
%TEMP%\analog\podcast\json-api\43.opends60.dll
%TEMP%\analog\podcast\json-api\parent.xml
%TEMP%\capeoocyte
%TEMP%\petiolelaryngology.dll
%TEMP%\newattachment\webadmin\x-atari-lynx-rom.xml
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\index.dat
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\aw39nmls\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\o3ef56sb\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\i59sz40k\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\7atq93mh\desktop.ini
%TEMP%\inetpub\subject\backups\projwizui.dll
%TEMP%\inetpub\subject\backups\atltracetoolui.dll
%TEMP%\inetpub\subject\backups\handlers.xml
%TEMP%\inetpub\subject\backups\62.opends60.dll
%TEMP%\inetpub\subject\backups\com.ubuntu.softwareproperties.gschema.xml
%TEMP%\nsw118e.tmp\userinfo.dll
%TEMP%\newattachment\webadmin\org.gnome.seahorse.gschema.xml
%TEMP%\newattachment\webadmin\microsoftvisualbasicvsa.dll
%TEMP%\newattachment\webadmin\vslogp.dll
%TEMP%\newattachment\webadmin\45.opends60.dll
%TEMP%\newattachment\webadmin\gpx+xml.xml
%TEMP%\newattachment\webadmin\x-gedcom.xml
%APPDATA%\microsoft\windows\cookies\low\index.dat
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
%TEMP%\newattachment\webadmin\81.opends60.dll
%TEMP%\newattachment\webadmin\org.gnome.settings-daemon.plugins.housekeeping.gschema.xml
%TEMP%\newattachment\webadmin\wsdl.exe
%TEMP%\newattachment\webadmin\vsasvrp.dll
%TEMP%\newattachment\webadmin\vbu.exe
%TEMP%\inetpub\subject\backups\57.opends60.dll
%TEMP%\inetpub\subject\backups\x-kspread-crypt.xml
%TEMP%\inetpub\subject\backups\34.opends60.dll
%TEMP%\nsh117e.tmp
%TEMP%\newattachment\webadmin\x-matroska.xml
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\index.dat

Присваивает атрибут 'скрытый' для следующих файлов

%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\aw39nmls\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\o3ef56sb\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\i59sz40k\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\7atq93mh\desktop.ini

Удаляет следующие файлы

%TEMP%\nsw118e.tmp\userinfo.dll

Сетевая активность

TCP

Запросы HTTP GET

http://ec##hore.ga/~zadmin/safe/ap.exe
http://ap#.#pify.org/

'51.##1.96.106':3001

'my####rnalip.com':443

UDP

DNS ASK ec##hore.ga
DNS ASK my####rnalip.com
DNS ASK ap#.#pify.org

Другое

Запускает на исполнение

'%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
'%WINDIR%\syswow64\rundll32.exe' PetioleLaryngology,Michelle
'%WINDIR%\syswow64\cmd.exe'
'%WINDIR%\syswow64\rundll32.exe' "%WINDIR%\syswow64\WININET.dll",DispatchAPICall 1