Exploit.Siggen2.31534

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'Google Updater 2.0' = '%PROGRAMDATA%\Google Updater 2.0\cy3ok33k.exe'
[<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Google Updater 2.0' = '"%PROGRAMDATA%\Google Updater 2.0\cy3ok33k.exe"'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\rstrui.exe] 'Debugger' = 'lji.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'Google Updater 2.0' = '"%PROGRAMDATA%\Google Updater 2.0\cy3ok33k.exe"'

Устанавливает следующие настройки сервисов

[<HKLM>\System\CurrentControlSet\Services\SSDPSRV] 'Start' = '00000002'

Вредоносные функции

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра

[<HKLM>\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'

Создает и запускает на исполнение

'' (загружен из сети Интернет)

Создает и запускает на исполнение (эксплоит)

'%APPDATA%\vbc.exe'

Внедряет код в

следующие системные процессы:

%WINDIR%\syswow64\explorer.exe
<SYSTEM32>\dwm.exe
%WINDIR%\explorer.exe

следующие пользовательские процессы:

iexplore.exe
firefox.exe
excel.exe

Перехватывает функции

в браузерах

Процесс iexplore.exe, модуль wininet.dll
Процесс firefox.exe, модуль dnsapi.dll
Процесс iexplore.exe, модуль dnsapi.dll
Процесс firefox.exe, модуль nss3.dll

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: '', WindowName: 'Registry Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'OLLYDBG', WindowName: ''
ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
ClassName: 'TIdaWindow', WindowName: ''

Изменяет следующие настройки браузера Windows Internet Explorer

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '2500' = '00000003'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '2500' = '00000003'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '2500' = '00000003'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '2500' = '00000003'

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\vbc.exe
%APPDATA%\node\ia\patch\org.gnome.eog.gschema.xml
%APPDATA%\node\ia\patch\u2dmapi.dll
%APPDATA%\node\ia\patch\$dnexxml
%APPDATA%\node\ia\patch\58.opends60.dll
%APPDATA%\node\ia\patch\windowstechlonghornwinfx60.xml
%APPDATA%\node\ia\patch\netfxperf.dll
%APPDATA%\node\ia\patch\x-pascal.xml
%APPDATA%\node\ia\patch\x-lz4.xml
%TEMP%\sawpit
%APPDATA%\node\ia\patch\sample2.xml
%APPDATA%\directorio\model64.xml
%APPDATA%\redis\ips_kernel\order-follow\vnd.ms-visio.stencil.macroenabled.main+xml.xml
%APPDATA%\redis\ips_kernel\order-follow\microsoftvisualbasicvsa.dll
%APPDATA%\redis\ips_kernel\order-follow\dbgclr.exe
%APPDATA%\redis\ips_kernel\order-follow\org.freedesktop.upower.device.xml
%APPDATA%\redis\ips_kernel\order-follow\autolayt.dll
%APPDATA%\node\ia\patch\fusion.dll
%APPDATA%\node\ia\patch\33.opends60.dll
%APPDATA%\q4\t1\memlogin\pluginproblem.xml
%APPDATA%\q4\t1\memlogin\vcencbld.dll
%TEMP%\nsc48e3.tmp
%TEMP%\nsr48f3.tmp\nsexec.dll
%APPDATA%\q4\t1\memlogin\policyquery.xml
%APPDATA%\q4\t1\memlogin\otf.xml
%APPDATA%\q4\t1\memlogin\f360ultrachromek3v2.xml
%APPDATA%\q4\t1\memlogin\controlstopictypefilter80.xml
%APPDATA%\q4\t1\memlogin\mfc80cht.dll
%APPDATA%\q4\t1\memlogin\68.opends60.dll
%APPDATA%\q4\t1\memlogin\56.opends60.dll
%APPDATA%\q4\t1\memlogin\x-riff.xml
%APPDATA%\q4\t1\memlogin\clientshutdown.exe
%APPDATA%\q4\t1\memlogin\hxdsui.dll
%APPDATA%\q4\t1\memlogin\vctechnetlibsfilter80.xml
%APPDATA%\q4\t1\memlogin\x-tex-gf.xml
%APPDATA%\q4\t1\memlogin\msenv2p.dll
%APPDATA%\q4\t1\memlogin\crtowordsko.dll
%APPDATA%\q4\t1\memlogin\28.opends60.dll
%TEMP%\arginine.dll