Exploit.Siggen3.18121

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\office clicktoruns cache update

Вредоносные функции

Запускает на исполнение (эксплоит)

'<SYSTEM32>\cmd.exe' /c md c:\Drivers
'<SYSTEM32>\cmd.exe' /c copy /b <SYSTEM32>\*ertut*.exe c:\Drivers\DriverCheckTY.exe
'<SYSTEM32>\cmd.exe' /c copy /b c:\Drivers\DriverGFD.tmp+c:\Drivers\DriverGFZCoin.tmp c:\Drivers\DriverCFHD.tmp & del c:\Drivers\DriverGFD.tmp & del c:\Drivers\DriverGFZCoin.tmp
'<SYSTEM32>\cmd.exe' /c c:\Drivers\DriverCheckTY.exe -decode c:\Drivers\DriverGK.tmp c:\Drivers\DriverGK.lnk & del c:\Drivers\DriverGK.tmp
'<SYSTEM32>\cmd.exe' /c copy /b %WINDIR%\exp*.exe c:\Drivers\DriverCh.exe
'<SYSTEM32>\cmd.exe' /c c:\Drivers\DriverCh.exe c:\Drivers\DriverGK.lnk
'<SYSTEM32>\cmd.exe' /c explorer.exe /root,"c:\Drivers\DriverCacheSH.exe"
'<SYSTEM32>\cmd.exe' /c del c:\Drivers\DriverCFHD.tmp & del c:\Drivers\DriverCheckTY.exe & del c:\Drivers\DriverGK.lnk & del c:\Drivers\DriverCh.exe

Изменения в файловой системе

Создает следующие файлы

C:\drivers\drivergk.tmp
C:\drivers\drivergfd.tmp
C:\drivers\drivergfzcoin.tmp
C:\drivers\drivercheckty.exe
C:\drivers\drivercfhd.tmp
C:\drivers\drivergk.lnk
C:\drivers\driverch.exe
C:\drivers\drivercachesh.exe
<Текущая директория>\~wrd0000.tmp

Удаляет следующие файлы

C:\drivers\drivergfd.tmp
C:\drivers\drivergfzcoin.tmp
C:\drivers\drivergk.tmp
C:\drivers\drivercfhd.tmp
C:\drivers\drivercheckty.exe
C:\drivers\drivergk.lnk
C:\drivers\driverch.exe

Изменяет следующие файлы

Подменяет следующие файлы

<PATH_SAMPLE>.doc

Самоудаляется.

Сетевая активность

Подключается к

'sh###eblive.com':443

TCP

Другие

'sh###eblive.com':443

UDP

DNS ASK sh###eblive.com

Другое

Создает и запускает на исполнение

'C:\drivers\drivercheckty.exe' -decode c:\Drivers\DriverGK.tmp c:\Drivers\DriverGK.lnk
'C:\drivers\driverch.exe' c:\Drivers\DriverGK.lnk
'C:\drivers\drivercheckty.exe' -decode c:\Drivers\DriverCFHD.tmp c:\Drivers\DriverCacheSH.exe
'C:\drivers\drivercachesh.exe'
'C:\drivers\drivercachesh.exe' /update
'<SYSTEM32>\cmd.exe' /c md c:\Drivers' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c copy /b <SYSTEM32>\*ertut*.exe c:\Drivers\DriverCheckTY.exe' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c copy /b c:\Drivers\DriverGFD.tmp+c:\Drivers\DriverGFZCoin.tmp c:\Drivers\DriverCFHD.tmp & del c:\Drivers\DriverGFD.tmp & del c:\Drivers\DriverGFZCoin.tmp' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c c:\Drivers\DriverCheckTY.exe -decode c:\Drivers\DriverGK.tmp c:\Drivers\DriverGK.lnk & del c:\Drivers\DriverGK.tmp' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c copy /b %WINDIR%\exp*.exe c:\Drivers\DriverCh.exe' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c c:\Drivers\DriverCh.exe c:\Drivers\DriverGK.lnk' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c start /b C:\Drivers\DriverCheckTY.exe -decode c:\Drivers\DriverCFHD.tmp c:\Drivers\DriverCacheSH.exe' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c explorer.exe /root,"c:\Drivers\DriverCacheSH.exe"' (со скрытым окном)
'C:\drivers\drivercachesh.exe' ' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c del c:\Drivers\DriverCFHD.tmp & del c:\Drivers\DriverCheckTY.exe & del c:\Drivers\DriverGK.lnk & del c:\Drivers\DriverCh.exe' (со скрытым окном)
'C:\drivers\drivercachesh.exe' /update' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c start /b C:\Drivers\DriverCheckTY.exe -decode c:\Drivers\DriverCFHD.tmp c:\Drivers\DriverCacheSH.exe
'%WINDIR%\explorer.exe' /root,"c:\Drivers\DriverCacheSH.exe"
'<SYSTEM32>\taskeng.exe' {814D30C8-6516-49E7-8A84-D90678927C3C} S-1-5-21-1960123792-2022915161-3775307078-1001:rhvdyojzcnr\user:Interactive:[1]