Exploit.Siggen3.30332

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Izqntwy' = 'C:\Users\Public\ywtnqzI.url'

Вредоносные функции

Создает и запускает на исполнение

'' (загружен из сети Интернет)

Создает и запускает на исполнение (эксплоит)

'C:\users\public\vbc.exe'

Внедряет код в

следующие системные процессы:

%WINDIR%\explorer.exe

Изменения в файловой системе

Создает следующие файлы

C:\users\public\vbc.exe
C:\users\public\izqntwy.exe
C:\users\public\ywtnqzi.url

Сетевая активность

Подключается к

'19#.#3.212.185':80
'ar####5genesh.com':80
'di#####nectionbuild.com':80
'hu###-hk.com':80
'fk##g.biz':80
'de###tohope.com':80
'lu####r-traum.net':80
'ch#######chickenandfriends.com':80
'lh##rj.com':80
'ro###usa.com':80
'so#####gineering.com':80
'ha###omered.com':80
'gi##ex.com':80
'tb##e.plus':80
'aa##eg.net':80
'aw###bus.com':80

TCP

Запросы HTTP GET

http://19#.#3.212.185/560/vbc.exe
http://www.de###tohope.com/a2c8/?Xr###########################################################################################
http://www.tb##e.plus/a2c8/?Xr###########################################################################################
http://www.gi##ex.com/a2c8/?Xr###########################################################################################
http://www.ha###omered.com/a2c8/?Xr###########################################################################################
http://www.sd###nglish.com/a2c8/?Xr##############################################################################################
http://www.so#####gineering.com/a2c8/?Xr##############################################################################################
http://www.ro###usa.com/a2c8/?Xr##############################################################################################
http://www.aa##eg.net/a2c8/?Xr###########################################################################################
http://www.pr#####spatchers.com/a2c8/?Xr##############################################################################################
http://www.ch#######chickenandfriends.com/a2c8/?Xr##############################################################################################
http://www.lu####r-traum.net/a2c8/?Xr##############################################################################################
http://www.de###tohope.com/a2c8/?Xr##############################################################################################
http://www.fk##g.biz/a2c8/?Xr##############################################################################################
http://www.hu###-hk.com/a2c8/?Xr##############################################################################################
http://www.di#####nectionbuild.com/a2c8/?Xr##############################################################################################
http://ar####5genesh.com/vvvvvvvvvvvvvvvvvvvvvvvvvvvvvvvvvvvvvvvvvvvvvvvvvvv/Izqntwyxutbanbjksfuazfsxdqbthcr
http://www.lh##rj.com/a2c8/?Xr##############################################################################################
http://www.aw###bus.com/a2c8/?Xr###########################################################################################