Exploit.Siggen3.30577

Техническая информация

Вредоносные функции

Создает и запускает на исполнение

'' (загружен из сети Интернет)

Создает и запускает на исполнение (эксплоит)

'C:\users\public\vbc.exe'

Запускает на исполнение (эксплоит)

'%ProgramFiles%\microsoft office\office14\excel.exe' /dde

Внедряет код в

следующие системные процессы:

%WINDIR%\explorer.exe

следующие пользовательские процессы:

zzhpdpek.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\a9ruo4aut_1aak1rb_1jg.tmp\has been verified. however pdf, jpeg, docx, .xlsx
%TEMP%\a9ruo4aut_1aak1rb_1jg.tmp\~$has been verified. however pdf, jpeg, docx, .xlsx
%TEMP%\170a.tmp
C:\users\public\vbc.exe
%TEMP%\u883bqxkh733zoy
%TEMP%\alrizz
%TEMP%\zzhpdpek.exe

Удаляет следующие файлы

%TEMP%\zzhpdpek.exe

Сетевая активность

Подключается к

'19#.#.122.160':80
'de#####tion-denver.com':80
'be##ll9.com':80
'tr#####xternality.info':80
'te##leo.com':80
'an#####lasquez.online':80
'lv#####earchpros.com':80
'pr###ofit.com':80
'ca#####refarmacia.com':80
'jw####rdmotion.com':80
'go####ewhere.com':80
'na###lich.store':80
'lu###shi4.xyz':80
'no####tarbets.com':80
'da####sden11.com':80
'si##.space':80
'de#######fessionalmovers.com':80
'18##d8.com':80
'at#####eautyexpert.com':80
'ne####ionfit.com':80

TCP

Запросы HTTP GET

http://19#.#.122.160/PP/builder1.exe
http://www.de#####tion-denver.com/qbks/?3f#########################################################################################
http://www.be##ll9.com/qbks/?3f#########################################################################################
http://www.te##leo.com/qbks/?3f#########################################################################################
http://www.ca#####refarmacia.com/qbks/?3f#########################################################################################
http://www.an#####lasquez.online/qbks/?3f############################################################################################
http://www.lv#####earchpros.com/qbks/?3f############################################################################################
http://www.pr###ofit.com/qbks/?3f############################################################################################
http://www.ca#####refarmacia.com/qbks/?3f############################################################################################
http://www.jw####rdmotion.com/qbks/?3f############################################################################################
http://www.go####ewhere.com/qbks/?3f############################################################################################
http://www.na###lich.store/qbks/?3f############################################################################################
http://www.lu###shi4.xyz/qbks/?3f############################################################################################
http://www.no####tarbets.com/qbks/?3f############################################################################################
http://www.da####sden11.com/qbks/?3f############################################################################################
http://www.si##.space/qbks/?3f############################################################################################
http://www.de#######fessionalmovers.com/qbks/?3f############################################################################################
http://www.18##d8.com/qbks/?3f############################################################################################
http://www.at#####eautyexpert.com/qbks/?3f#########################################################################################
http://www.ne####ionfit.com/qbks/?3f#########################################################################################