Exploit.Siggen3.21050

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Sgvedpw' = 'C:\Users\Public\Libraries\wpdevgS.url'

Вредоносные функции

Создает и запускает на исполнение

'' (загружен из сети Интернет)

Создает и запускает на исполнение (эксплоит)

'C:\users\public\vbc.exe'

Внедряет код в

следующие системные процессы:

%WINDIR%\explorer.exe

Изменения в файловой системе

Создает следующие файлы

C:\users\public\vbc.exe
C:\users\public\libraries\sgvedpw\sgvedpw.exe
C:\users\public\libraries\wpdevgs.url

Сетевая активность

Подключается к

'23.##.159.208':80
'ap####acrtl.quest':80
'an####yaarnold.com':80
'ma###group.com':80
'ma#####gregory.store':80
'in###ax.store':80
'mg###rage.com':80
'ca####utiqueapp.com':80
'uv##tae.xyz':80
'b8##ex.com':80
'gl###hpunks.art':80
'bu###acoin.com':80
'fa####lovmix.com':80
'5w####.#m.files.1drv.com':443
'on####ve.live.com':443
'mo##e27.com':80
'mi####iversepr.com':80

TCP

Запросы HTTP GET

http://23.##.159.208/01444/vbc.exe
http://www.ca####utiqueapp.com/rqan/?8p########################################################################################
http://www.ap####acrtl.quest/rqan/?8p########################################################################################
http://www.an####yaarnold.com/rqan/?8p########################################################################################
http://www.ma###group.com/rqan/?8p########################################################################################
http://www.ma#####gregory.store/rqan/?8p########################################################################################
http://www.in###ax.store/rqan/?8p########################################################################################
http://www.mi####iversepr.com/rqan/?8p####################################################################################
http://www.th######mithtradeshow.com/rqan/?8p########################################################################################
http://www.uv##tae.xyz/rqan/?8p########################################################################################
http://www.mo##e27.com/rqan/?8p########################################################################################
http://www.b8##ex.com/rqan/?8p########################################################################################
http://www.gl###hpunks.art/rqan/?8p########################################################################################
http://www.bu###acoin.com/rqan/?8p########################################################################################
http://www.fa####lovmix.com/rqan/?8p########################################################################################
http://www.mg###rage.com/rqan/?8p########################################################################################
http://www.th######mithtradeshow.com/rqan/?8p####################################################################################