Exploit.Siggen3.30377

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'HRLXEFS06FUT' = '%ProgramFiles(x86)%\Ndfylj\msvtg4dx.exe'

Вредоносные функции

Создает и запускает на исполнение

'' (загружен из сети Интернет)

Создает и запускает на исполнение (эксплоит)

'C:\users\public\vbc.exe'

Внедряет код в

следующие системные процессы:

%WINDIR%\explorer.exe

Изменения в файловой системе

Создает следующие файлы

C:\users\public\vbc.exe
%TEMP%\xzqne7xgv46yime5nwb2
%TEMP%\wmzaavkvn
%TEMP%\hmikwdpqfm.exe
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
%LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
%TEMP%\ndfylj\msvtg4dx.exe
%ProgramFiles(x86)%\ndfylj\msvtg4dx.exe

Удаляет следующие файлы

%TEMP%\hmikwdpqfm.exe

Сетевая активность

Подключается к

'10#.#72.76.193':80
'do#####-enterprise.com':80
'ks##l.com':80
'ci#####fluencers.net':80
'gr####otleyeast.com':80
'ho###tivity.com':80
'ti###wagen.com':80
'ei####ller.email':80
'3a##lv.icu':80
'an####escortvip.xyz':80
'lo###y-tics.com':80
'pl###-click.com':80
'ww###postes.net':80
'ci###ctinc.com':80
'cg###.online':80

TCP

Запросы HTTP GET

http://10#.#72.76.193/pond/fox.exe
http://www.ci###ctinc.com/ahc8/?jV######################################################################################################
http://www.ww###postes.net/ahc8/?jV######################################################################################################
http://www.pl###-click.com/ahc8/?jV########################################################################################
http://www.lo###y-tics.com/ahc8/?jV########################################################################################
http://www.an####escortvip.xyz/ahc8/?jV########################################################################################
http://www.3a##lv.icu/ahc8/?jV########################################################################################
http://www.do#####-enterprise.com/ahc8/?jV######################################################################################################
http://www.th######iorsfurniture.com/ahc8/?jV########################################################################################
http://www.ti###wagen.com/ahc8/?jV########################################################################################
http://www.ho###tivity.com/ahc8/?jV########################################################################################
http://www.pu###aseva.com/ahc8/?jV########################################################################################
http://www.ci#####fluencers.net/ahc8/?jV########################################################################################
http://www.ks##l.com/ahc8/?jV########################################################################################
http://www.do#####-enterprise.com/ahc8/?jV########################################################################################
http://www.ei####ller.email/ahc8/?jV########################################################################################
http://www.cg###.online/ahc8/?jV######################################################################################################