Exploit.Siggen3.31496

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\updates\loxtfkfajldm

Вредоносные функции

Создает и запускает на исполнение

'' (загружен из сети Интернет)

Создает и запускает на исполнение (эксплоит)

'C:\users\public\vbc.exe'

Внедряет код в

следующие системные процессы:

%WINDIR%\explorer.exe

следующие пользовательские процессы:

vbc.exe

Изменения в файловой системе

Создает следующие файлы

C:\users\public\vbc.exe
%APPDATA%\loxtfkfajldm.exe
%TEMP%\tmp9137.tmp

Удаляет следующие файлы

%TEMP%\tmp9137.tmp

Сетевая активность

Подключается к

'13.##5.185.27':80
'up##e.com':80
'po####mattch.space':80
'sf####armer.info':80
'pa####trucking.com':80
'be####escapenh.com':80
'sd##32.xyz':80
'al####scloudmv.tech':80
'ec####opeller.com':80
'ce####core-pain.com':80
'st##ii.com':80
'me###ial68.com':80
'fr######opascualehijos.net':80

TCP

Запросы HTTP GET

http://13.##5.185.27/wndcloud/csrss.exe
http://www.up##e.com/goe8/?2d############################################################################################
http://www.po####mattch.space/goe8/?2d############################################################################################
http://www.sf####armer.info/goe8/?2d############################################################################################
http://www.pa####trucking.com/goe8/?2d############################################################################################
http://www.be####escapenh.com/goe8/?2d############################################################################################
http://www.sd##32.xyz/goe8/?2d############################################################################################
http://www.al####scloudmv.tech/goe8/?2d############################################################################################
http://www.ec####opeller.com/goe8/?2d############################################################################################
http://www.ce####core-pain.com/goe8/?2d############################################################################################
http://www.st##ii.com/goe8/?2d############################################################################################
http://www.me###ial68.com/goe8/?2d############################################################################################
http://www.fr######opascualehijos.net/goe8/?2d############################################################################################
http://www.li####footwear.com/goe8/?2d############################################################################################

UDP

DNS ASK up##e.com
DNS ASK po####mattch.space
DNS ASK sf####armer.info
DNS ASK pa####trucking.com
DNS ASK be####escapenh.com
DNS ASK sd##32.xyz
DNS ASK al####scloudmv.tech
DNS ASK ec####opeller.com
DNS ASK ce####core-pain.com
DNS ASK st##ii.com
DNS ASK me###ial68.com
DNS ASK la##ose.com
DNS ASK fr######opascualehijos.net
DNS ASK li####footwear.com

Другое

Создает и запускает на исполнение

'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Updates\loxTFKFajLdm" /XML "%TEMP%\tmp9137.tmp"' (со скрытым окном)

Запускает на исполнение

'%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Updates\loxTFKFajLdm" /XML "%TEMP%\tmp9137.tmp"
'%WINDIR%\syswow64\cmd.exe'