Exploit.Siggen3.30823

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'JRSD1NEPT6U' = '%ProgramFiles(x86)%\Al4nhgb\mfcbbc.exe'

Вредоносные функции

Создает и запускает на исполнение

'' (загружен из сети Интернет)

Создает и запускает на исполнение (эксплоит)

'C:\users\public\vbc.exe'

Внедряет код в

следующие системные процессы:

%WINDIR%\explorer.exe

Изменения в файловой системе

Создает следующие файлы

C:\users\public\vbc.exe
%TEMP%\lzkkyql9d3j5aj64d97
%TEMP%\ypjjw
%TEMP%\dtclgnko.exe
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
%LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
%TEMP%\al4nhgb\mfcbbc.exe
%ProgramFiles(x86)%\al4nhgb\mfcbbc.exe

Удаляет следующие файлы

%TEMP%\dtclgnko.exe

Сетевая активность

Подключается к

'10#.#72.76.193':80
'ma######enihancoaching.com':80
'ca###gesa.com':80
'so####boete.quest':80
'fl####gorattan.com':80
'ch####jingming.com':80
'we######hatsstudyabroad.com':80
'la#####ifeplanner.com':80
'gr###growth.biz':80
'ga######-distributors.xyz':80
'fo#####nsmilford.online':80
'fu###echs.xyz':80
'xn#######ionmyopie-aix-cwb.com':80
'pl###-click.com':80
'bl###nest.com':80
'sa###amai.com':80

TCP

Запросы HTTP GET

http://10#.#72.76.193/lead/winlogon.exe
http://www.ca###gesa.com/w6ot/?EJ###################################################################################################
http://www.sa###amai.com/w6ot/?EJ###################################################################################################
http://www.so####boete.quest/w6ot/?EJ###################################################################################################
http://www.bl###nest.com/w6ot/?EJ###################################################################################################
http://www.pl###-click.com/w6ot/?EJ###################################################################################
http://www.xn#######ionmyopie-aix-cwb.com/w6ot/?EJ#####################################################################################
http://www.fu###echs.xyz/w6ot/?EJ###################################################################################
http://www.fo#####nsmilford.online/w6ot/?EJ###################################################################################
http://www.ga######-distributors.xyz/w6ot/?EJ###################################################################################
http://www.gr###growth.biz/w6ot/?EJ###################################################################################
http://www.la#####ifeplanner.com/w6ot/?EJ###################################################################################
http://www.we######hatsstudyabroad.com/w6ot/?EJ###################################################################################
http://www.ch####jingming.com/w6ot/?EJ###################################################################################
http://www.fl####gorattan.com/w6ot/?EJ###################################################################################
http://www.so####boete.quest/w6ot/?EJ###################################################################################
http://www.ca###gesa.com/w6ot/?EJ###################################################################################
http://www.ma######enihancoaching.com/w6ot/?EJ###################################################################################
http://www.we######hatsstudyabroad.com/w6ot/?EJ#################################################################################################
http://www.la#####ifeplanner.com/w6ot/?EJ#################################################################################################