Exploit.Siggen3.30861

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\updates\vylhwuoajpm

Вредоносные функции

Создает и запускает на исполнение

'' (загружен из сети Интернет)

Создает и запускает на исполнение (эксплоит)

'C:\users\public\vbc.exe'

Внедряет код в

следующие системные процессы:

%WINDIR%\explorer.exe

Изменения в файловой системе

Создает следующие файлы

C:\users\public\vbc.exe
%APPDATA%\vylhwuoajpm.exe
%TEMP%\tmp538c.tmp

Удаляет следующие файлы

%TEMP%\tmp538c.tmp

Сетевая активность

Подключается к

'10#.#25.190.201':80
're######ssmultimedia.com':80
'pa####trucking.com':80
'be####palace.com':80
'su#######ku-gakukansetusyo.xyz':80
'tr####odance.com':80
'vo###bra.com':80
'co##sl.com':80
'ai###zou.com':80
'mi###sking.com':80
'po####mattch.space':80
'ce####core-pain.com':80
'zm######bismarketing.net':80
'br##bux.com':80

TCP

Запросы HTTP GET

http://10#.#25.190.201/datasaver/csrss.exe
http://www.li####footwear.com/goe8/?EL#########################################################################################
http://www.ka####urniture.com/goe8/?EL#########################################################################################
http://www.ce####core-pain.com/goe8/?EL####################################################################################
http://www.po####mattch.space/goe8/?EL####################################################################################
http://www.mi###sking.com/goe8/?EL####################################################################################
http://www.fl#####iscount.store/goe8/?EL####################################################################################
http://www.zm######bismarketing.net/goe8/?EL#########################################################################################
http://www.ai###zou.com/goe8/?EL####################################################################################
http://www.vo###bra.com/goe8/?EL####################################################################################
http://www.tr####odance.com/goe8/?EL####################################################################################
http://www.su#######ku-gakukansetusyo.xyz/goe8/?EL####################################################################################
http://www.be####palace.com/goe8/?EL####################################################################################
http://www.pa####trucking.com/goe8/?EL####################################################################################
http://www.re######ssmultimedia.com/goe8/?EL####################################################################################
http://www.co##sl.com/goe8/?EL####################################################################################
http://www.br##bux.com/goe8/?EL####################################################################################

UDP

DNS ASK re######ssmultimedia.com
DNS ASK li####footwear.com
DNS ASK ka####urniture.com
DNS ASK no####apattana.com
DNS ASK ce####core-pain.com
DNS ASK po####mattch.space
DNS ASK mi###sking.com
DNS ASK fl#####iscount.store
DNS ASK ai###zou.com
DNS ASK co##sl.com
DNS ASK vo###bra.com
DNS ASK tr####odance.com
DNS ASK su#######ku-gakukansetusyo.xyz
DNS ASK be####palace.com
DNS ASK vi####ia.website
DNS ASK pa####trucking.com
DNS ASK zm######bismarketing.net
DNS ASK br##bux.com

Другое

Создает и запускает на исполнение

'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Updates\VYlhwuOAjPm" /XML "%TEMP%\tmp538C.tmp"' (со скрытым окном)

Запускает на исполнение

'%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Updates\VYlhwuOAjPm" /XML "%TEMP%\tmp538C.tmp"
'%WINDIR%\syswow64\ipconfig.exe'
'%ProgramFiles(x86)%\mozilla firefox\firefox.exe'