Exploit.Siggen3.11890

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[<HKLM>\System\CurrentControlSet\Services\MsRkNrL] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\MsRkNrL] 'ImagePath' = '<SYSTEM32>\wscript.exe //B "C:\autoexec.vbs"'

Создает следующие сервисы

'MsRkNrL' <SYSTEM32>\wscript.exe //B "C:\autoexec.vbs"

Вредоносные функции

Создает и запускает на исполнение (эксплоит)

'<SYSTEM32>\wscript.exe' //B "%TEMP%\rknrl.vbs"

Изменения в файловой системе

Создает следующие файлы

%TEMP%\dm6331.tmp
%TEMP%\rad46402.tmp
%TEMP%\rade91f0.tmp
%TEMP%\rad12d9f.tmp
%TEMP%\rad1adf1.tmp
%TEMP%\rad823b3.tmp
%WINDIR%\temp\rad87484.tmp
%WINDIR%\temp\rad86006.tmp
%WINDIR%\temp\rad4be55.tmp
<SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\content.ie5\59o0eoqa\rknrl[1].vbs
%WINDIR%\temp\rade0d74.tmp
<SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\content.ie5\59o0eoqa\playback[1].php
<SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\content.ie5\0o42hqll\dm6331[1].tmp
<SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\content.ie5\jh3iwefd\playback[1].php
<SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\content.ie5\59o0eoqa\dm6331[1].tmp
<SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\content.ie5\0o42hqll\playback[1].php
<SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\content.ie5\jh3iwefd\dm6331[1].tmp
%WINDIR%\temp\rad0e465.tmp
%WINDIR%\temp\radcccd1.tmp
%WINDIR%\temp\radefb12.tmp
<SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\content.ie5\jh3iwefd\api[1]
%TEMP%\rknrl.vbs
%WINDIR%\temp\dm6331.tmp
%WINDIR%\temp\winstart.vbs
%TEMP%\winstart.vbs
%WINDIR%\temp\rknrl.vbs
<SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\content.ie5\t5levnel\api[1]
<SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\content.ie5\t5levnel\api[2]
<SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\content.ie5\t5levnel\url[1].htm
%WINDIR%\temp\radaa4af.tmp
%WINDIR%\temp\radd7b43.tmp
%WINDIR%\temp\radaae42.tmp
%WINDIR%\temp\rad2d8df.tmp
%WINDIR%\temp\rad26e13.tmp
%WINDIR%\temp\rad392e4.tmp
<SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\content.ie5\59o0eoqa\url[1].htm
%WINDIR%\temp\rad3ee10.tmp
%WINDIR%\temp\rad0e122.tmp
<SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\content.ie5\jh3iwefd\rknrl[1].vbs

Удаляет следующие файлы

<SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\content.ie5\t5levnel\api[1]
<SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\content.ie5\t5levnel\api[2]
%WINDIR%\temp\dm6332.tmp
<SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\content.ie5\t5levnel\url[1].htm
%TEMP%\dm6332.tmp
<SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\content.ie5\jh3iwefd\api[1]
<SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\content.ie5\59o0eoqa\url[1].htm
<SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\content.ie5\59o0eoqa\playback[1].php
<SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\content.ie5\0o42hqll\dm6331[1].tmp
<SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\content.ie5\jh3iwefd\playback[1].php
<SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\content.ie5\59o0eoqa\dm6331[1].tmp
<SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\content.ie5\59o0eoqa\rknrl[1].vbs
<SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\content.ie5\jh3iwefd\rknrl[1].vbs

Перемещает следующие файлы

%WINDIR%\temp\radd7b43.tmp в %WINDIR%\temp\dm6332.tmp
%TEMP%\rad46402.tmp в %TEMP%\dm6332.tmp

Подменяет следующие файлы

%WINDIR%\temp\dm6332.tmp
%TEMP%\dm6332.tmp
<SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\content.ie5\t5levnel\api[1]
<SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\content.ie5\jh3iwefd\api[1]
<SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\content.ie5\t5levnel\url[1].htm
<SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\content.ie5\59o0eoqa\rknrl[1].vbs
<SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\content.ie5\jh3iwefd\rknrl[1].vbs

Сетевая активность

Подключается к

'ap#.##herscan.io':80
'ai########ill.aigoingtokill.club':80

TCP

Запросы HTTP GET

http://ap#.##herscan.io/api?mo#############################################################################
http://ai########ill.aigoingtokill.club/ctrl/playback.php
http://ai########ill.aigoingtokill.club/ctrl/file/DM6331.TMP
http://ai########ill.aigoingtokill.club/ctrl/file/rknrl.vbs

UDP