Exploit.Siggen3.30484

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] '9RSD1NEHI' = '%ProgramFiles(x86)%\U1b9l\config1bh.exe'

Вредоносные функции

Создает и запускает на исполнение

'' (загружен из сети Интернет)

Создает и запускает на исполнение (эксплоит)

'C:\users\public\vbc.exe'

Внедряет код в

следующие системные процессы:

%WINDIR%\explorer.exe

Изменения в файловой системе

Создает следующие файлы

C:\users\public\vbc.exe
%TEMP%\3l5pfh2v7pbhd948nby
%TEMP%\tuwtntj
%TEMP%\pmgosb.exe
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
%LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
%TEMP%\u1b9l\config1bh.exe
%ProgramFiles(x86)%\u1b9l\config1bh.exe

Удаляет следующие файлы

%TEMP%\pmgosb.exe

Сетевая активность

Подключается к

'19#.#6.136.246':80
'td####anization.com':80
'bl###sphera.net':80
'bl####lace.online':80
'jo####angels.com':80
'ar###gap.com':80
'ep###port.xyz':80
'da###eflat.com':80
'na#####-vanilla.online':80
'69##pk.com':80
'po####acontece.net':80
'al####jewels.com':80
'er##uge.com':80

TCP

Запросы HTTP GET

http://19#.#6.136.246/3773/vbc.exe
http://www.td####anization.com/sm3g/?kv##########################################################################################
http://www.bl###sphera.net/sm3g/?kv##########################################################################################
http://www.bl####lace.online/sm3g/?kv##########################################################################################
http://www.jo####angels.com/sm3g/?kv##########################################################################################
http://www.ar###gap.com/sm3g/?kv##########################################################################################
http://www.ep###port.xyz/sm3g/?kv##########################################################################################
http://www.da###eflat.com/sm3g/?kv##########################################################################################
http://www.na#####-vanilla.online/sm3g/?kv##########################################################################################
http://www.po####acontece.net/sm3g/?kv##########################################################################################
http://www.al####jewels.com/sm3g/?kv##########################################################################################
http://www.al####jewels.com/sm3g/?kv#################################################################################################
http://www.er##uge.com/sm3g/?kv##########################################################################################
http://www.bl####lace.online/sm3g/?kv###############################################################################################################
http://www.ep###port.xyz/sm3g/?kv###############################################################################################################