Exploit.Siggen3.30637

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Xckiqgc' = 'C:\Users\Public\Libraries\cgqikcX.url'

Вредоносные функции

Создает и запускает на исполнение

'' (загружен из сети Интернет)

Создает и запускает на исполнение (эксплоит)

'C:\users\public\vbc.exe'

Внедряет код в

следующие системные процессы:

%WINDIR%\explorer.exe

Изменения в файловой системе

Создает следующие файлы

C:\users\public\vbc.exe
C:\users\public\libraries\xckiqgc.exe
C:\users\public\libraries\cgqikcx.url

Сетевая активность

Подключается к

'19#.#2.84.44':80
'sd###hao.com':80
'gl####ntactlens.com':80
'sc#######vestmentholding.com':80
'vi###nary.net':80
'vb###orld.com':80
'ns###agent.com':80
'we##rd.biz':80
'cu###dwires.net':80
'ja##t88.com':80
'tj###nbin.com':80
'ty####feedback.com':80
'id#######icensedelectrician.com':80
'xn#######x1as30j.xn--6qq986b3xl':80
'rq####.#m.files.1drv.com':443
'on####ve.live.com':443
'pi###132bet.com':80
'gi####m4print.com':80

TCP

Запросы HTTP GET

http://19#.#2.84.44/581/vbc.exe
http://www.xn#######x1as30j.xn--6qq986b3xl/xtef/?C8################################################################################
http://www.id#######icensedelectrician.com/xtef/?C8################################################################################
http://www.ty####feedback.com/xtef/?C8################################################################################
http://www.tj###nbin.com/xtef/?C8################################################################################
http://www.ja##t88.com/xtef/?C8################################################################################
http://www.we##rd.biz/xtef/?C8################################################################################
http://www.ns###agent.com/xtef/?C8################################################################################
http://www.vb###orld.com/xtef/?C8################################################################################
http://www.vi###nary.net/xtef/?C8################################################################################
http://www.sc#######vestmentholding.com/xtef/?C8################################################################################
http://www.gl####ntactlens.com/xtef/?C8################################################################################
http://www.sd###hao.com/xtef/?C8################################################################################
http://www.pi###132bet.com/xtef/?C8################################################################################
http://www.ka####slides.com/xtef/?C8################################################################################
http://www.gi####m4print.com/xtef/?C8################################################################################