Exploit.Siggen3.30531

Техническая информация

Вредоносные функции

Создает и запускает на исполнение

'' (загружен из сети Интернет)

Создает и запускает на исполнение (эксплоит)

'C:\users\public\vbc.exe'

Запускает на исполнение (эксплоит)

'%ProgramFiles%\microsoft office\office14\excel.exe' /dde

Внедряет код в

следующие системные процессы:

%WINDIR%\explorer.exe

следующие пользовательские процессы:

dyteazqadx.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\a9r1a8xmwy_w1z11y_t4.tmp\has been verified. however pdf, jpeg, docx, .xlsx
%TEMP%\a9r1a8xmwy_w1z11y_t4.tmp\~$has been verified. however pdf, jpeg, docx, .xlsx
%TEMP%\9676.tmp
C:\users\public\vbc.exe
%TEMP%\u0otaajnq46hz
%TEMP%\olxfv
%TEMP%\dyteazqadx.exe

Удаляет следующие файлы

%TEMP%\dyteazqadx.exe

Сетевая активность

Подключается к

'19#.#.122.160':80
'tr####ndrm.store':80
'jz##ly.com':80
'md####plastia.com':80
'so####ab2.online':80
'be####utdoors.net':80
'sa##gs.com':80
'ev####nersclub.com':80
'ql##qq.com':80
'lo###care.com':80
'st####niemarkel.com':80
'we###ecrea.com':80
'li####ezstudios.com':80
'ba####clothing.com':80
'ec###ypto.xyz':80

TCP

Запросы HTTP GET

http://19#.#.122.160/pp/buildar2.exe
http://www.we###ecrea.com/ojqg/?sD###################################################################################
http://www.ra####nuvogue.com/ojqg/?sD###################################################################################
http://www.ba####clothing.com/ojqg/?sD###################################################################################
http://www.li####ezstudios.com/ojqg/?sD##################################################################################
http://www.we###ecrea.com/ojqg/?sD##################################################################################
http://www.st####niemarkel.com/ojqg/?sD##################################################################################
http://www.lo###care.com/ojqg/?sD##################################################################################
http://www.ec###ypto.xyz/ojqg/?sD###################################################################################
http://www.ql##qq.com/ojqg/?sD##################################################################################
http://www.sa##gs.com/ojqg/?sD##################################################################################
http://www.be####utdoors.net/ojqg/?sD##################################################################################
http://www.ks###ine.com/ojqg/?sD##################################################################################
http://www.so####ab2.online/ojqg/?sD##################################################################################
http://www.md####plastia.com/ojqg/?sD##################################################################################
http://www.jz##ly.com/ojqg/?sD##################################################################################
http://www.tr####ndrm.store/ojqg/?sD##################################################################################
http://www.ev####nersclub.com/ojqg/?sD##################################################################################
http://www.st####niemarkel.com/ojqg/?sD###################################################################################