Exploit.Siggen3.20252

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Zbgpobu' = 'C:\Users\Public\Libraries\ubopgbZ.url'

Вредоносные функции

Создает и запускает на исполнение

'' (загружен из сети Интернет)

Создает и запускает на исполнение (эксплоит)

'C:\users\public\vbc.exe'

Внедряет код в

следующие системные процессы:

%WINDIR%\explorer.exe

Изменения в файловой системе

Создает следующие файлы

C:\users\public\vbc.exe
C:\users\public\libraries\zbgpobu\zbgpobu.exe
C:\users\public\libraries\ubopgbz.url

Сетевая активность

Подключается к

'19#.#2.107.114':80
'on####ve.live.com':443
'ac####.#n.files.1drv.com':443
'dp##yz.com':80
'bu###boats.com':80
'en###xcorp.com':80
'st####tshots.com':80
'li###nstech.com':80
'ma#####turedinjapan.com':80
'ta######urneighborhood.com':80
'de###fuses.com':80
'my##ti.com':80
'so######rstconsulting.com':80
'ke###rsark.com':80
'yz###oys.com':80
'oc##.#tartssl.com':80

TCP

Запросы HTTP GET

http://19#.#2.107.114/pnb/vbc.exe
http://www.bu###boats.com/ecuu/?3f###########################################################################################
http://www.en###xcorp.com/ecuu/?3f###########################################################################################
http://www.st####tshots.com/ecuu/?3f###########################################################################################
http://www.li###nstech.com/ecuu/?3f###########################################################################################
http://www.ma#####turedinjapan.com/ecuu/?3f###########################################################################################
http://www.ta######urneighborhood.com/ecuu/?3f###########################################################################################
http://www.de###fuses.com/ecuu/?3f###########################################################################################
http://www.my##ti.com/ecuu/?3f###########################################################################################
http://www.so######rstconsulting.com/ecuu/?3f###########################################################################################
http://www.ke###rsark.com/ecuu/?3f###########################################################################################
http://www.po#####elibrairie.com/ecuu/?3f###########################################################################################
http://www.yz###oys.com/ecuu/?3f###########################################################################################
http://oc##.#tartssl.com/sub/class2/code/ca/MEMwQTA%2FMD0wOzAJBgUrDgMCGgUABBQSOgrhRCSnWfKxoWTjWxhk8hga9AQU0E4PQJlsuEsZbzsouODjiAc0qrcCAhAV
http://www.te###dam.com/ecuu/?3f###########################################################################################