Exploit.Siggen3.22693

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'YLU8IRPHEF' = '%ProgramFiles%\Kzvg4hxq8\IconCache_pgh.exe'

Вредоносные функции

Создает и запускает на исполнение

'' (загружен из сети Интернет)

Создает и запускает на исполнение (эксплоит)

'C:\users\public\vbc.exe'

Внедряет код в

следующие системные процессы:

%WINDIR%\explorer.exe

следующие пользовательские процессы:

iconcache_pgh.exe

Завершает или пытается завершить

следующие системные процессы:

<SYSTEM32>\autofmt.exe

Изменения в файловой системе

Создает следующие файлы

C:\users\public\vbc.exe
%TEMP%\aenx7c9gkk268
%TEMP%\nsna0b2.tmp\kxovistzen.dll
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
%LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
%TEMP%\kzvg4hxq8\iconcache_pgh.exe
%ProgramFiles%\kzvg4hxq8\iconcache_pgh.exe
%TEMP%\nse25c9.tmp\kxovistzen.dll

Удаляет следующие файлы

C:\users\public\vbc.exe

Сетевая активность

Подключается к

'10#.#67.92.57':80
'ne####sleather.com':80
'ch###ima.com':80
'sh###patio.com':80
'mi###a56.com':80
'dr####aelirvine.com':80
'dt###cpj.com':80
'up###isedmc.com':80
'od##.top':80
'le###oar.com':80
'ta###mbet13.com':80
'bh###wat.com':80
'be##bee.com':80
'me#####ts-blanches.com':80

TCP

Запросы HTTP GET

http://10#.#67.92.57/hhttsm_h1/vbc.exe
http://www.ne####sleather.com/yrcy/?0n######################################################################################
http://www.sh###patio.com/yrcy/?0n######################################################################################
http://www.sh#####tageallure.com/yrcy/?0n######################################################################################
http://www.mi###a56.com/yrcy/?0n######################################################################################
http://www.dr####aelirvine.com/yrcy/?0n######################################################################################
http://www.dt###cpj.com/yrcy/?0n######################################################################################
http://www.up###isedmc.com/yrcy/?0n######################################################################################
http://www.od##.top/yrcy/?0n######################################################################################
http://www.le###oar.com/yrcy/?0n######################################################################################
http://www.m2####health.com/yrcy/?0n######################################################################################
http://www.ky##ra.com/yrcy/?0n######################################################################################
http://www.ta###mbet13.com/yrcy/?0n######################################################################################
http://www.be##bee.com/yrcy/?0n######################################################################################
http://www.me#####ts-blanches.com/yrcy/?0n########################################################################################################