Exploit.Siggen.14140

Техническая информация

Вредоносные функции

Устанавливает процедуры перхвата сообщений

оконных сообщений:

Библиотека-обработчик для всех процессов: %TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\LdxShareData32.dll
Библиотека-обработчик для всех процессов: %TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\LdxShareData64.dll

Изменения в файловой системе

Создает следующие файлы

%TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldcab.exe.ldtmp
C:\inetpub\ftproot\tipray\ldterm\log\eblnda_user\ldx.log
%TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldcab.lddat.ldtmp
%TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldcab.ldind.ldtmp
%TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldcab.ldx.ldtmp
%TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldx.en.ldtmp
%TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldx.cht.ldtmp
%TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ghhlp32.dll.ldtmp
%TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ghhlp64.dll.ldtmp
%TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldxghijt64.dll.ldtmp
%TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldxghijt32.dll.ldtmp
%TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldxhook32.dll.ldtmp
%TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldxhook64.dll.ldtmp
%TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldxghcore64.sys.ldtmp
%TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldxghcore32.sys.ldtmp
%TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldxsharedata64.dll.ldtmp
%TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldxsharedata32.dll.ldtmp
%TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\lddisk64.sys.ldtmp
%TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldreject64.exe.ldtmp
%TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldxguard.exe.ldtmp
%TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\forbit.ini.ldtmp
%TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\lddisk32.sys.ldtmp
%TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\detoured.dll.ldtmp
%TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldxsysctrl.dll.ldtmp
%TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\arlib.dll.ldtmp
%TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldx.exe.ldtmp
%TEMP%\ldxsd.dat
%TEMP%\@tiprayldx@\forbit.ini

Удаляет следующие файлы

%TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldcab.exe

Перемещает следующие файлы

%TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldcab.exe.ldtmp в %TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldcab.exe
%TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldcab.ldx.ldtmp в %TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldcab.ldx
%TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldx.en.ldtmp в %TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldx.en
%TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldx.cht.ldtmp в %TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldx.cht
%TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ghhlp32.dll.ldtmp в %TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ghhlp32.dll
%TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ghhlp64.dll.ldtmp в %TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ghhlp64.dll
%TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldxghijt64.dll.ldtmp в %TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldxghijt64.dll
%TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldxghijt32.dll.ldtmp в %TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldxghijt32.dll
%TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldxhook32.dll.ldtmp в %TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldxhook32.dll
%TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldxhook64.dll.ldtmp в %TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldxhook64.dll
%TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldxghcore64.sys.ldtmp в %TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldxghcore64.sys
%TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldcab.ldind.ldtmp в %TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldcab.ldind
%TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldxghcore32.sys.ldtmp в %TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldxghcore32.sys
%TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldxsharedata32.dll.ldtmp в %TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldxsharedata32.dll
%TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\lddisk64.sys.ldtmp в %TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\lddisk64.sys
%TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldreject64.exe.ldtmp в %TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldreject64.exe
%TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldxguard.exe.ldtmp в %TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldxguard.exe
%TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\forbit.ini.ldtmp в %TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\forbit.ini
%TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\lddisk32.sys.ldtmp в %TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\lddisk32.sys
%TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\detoured.dll.ldtmp в %TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\detoured.dll
%TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldxsysctrl.dll.ldtmp в %TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldxsysctrl.dll
%TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\arlib.dll.ldtmp в %TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\arlib.dll
%TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldx.exe.ldtmp в %TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldx.exe
%TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldxsharedata64.dll.ldtmp в %TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldxsharedata64.dll
%TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldcab.lddat.ldtmp в %TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldcab.lddat

Подменяет следующие файлы

%TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldcab.exe.ldtmp
%TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldcab.exe

Другое

Создает и запускает на исполнение

'%TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldx.exe' -srcfile "<Полный путь к файлу>"
'%TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldreject64.exe'
'%TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldxguard.exe' -GuardPath %TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\
'%TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldreject64.exe' ' (со скрытым окном)
'%TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\ldxguard.exe' -GuardPath %TEMP%\@tiprayldx@\09b3ee3445fd74a4e7ecdfdc202ca337\' (со скрытым окном)