Exploit.Siggen3.32379

Техническая информация

Вредоносные функции

Создает и запускает на исполнение

'' (загружен из сети Интернет)

Создает и запускает на исполнение (эксплоит)

'C:\users\public\vbc.exe'

Запускает на исполнение (эксплоит)

'%ProgramFiles%\microsoft office\office14\excel.exe' /dde

Внедряет код в

следующие системные процессы:

%WINDIR%\explorer.exe

следующие пользовательские процессы:

rwuqghcobk.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\a9ry7ov7k_1uy0vdw_1d0.tmp\has been verified. however pdf, jpeg, docx, .xlsx
%TEMP%\a9ry7ov7k_1uy0vdw_1d0.tmp\~$has been verified. however pdf, jpeg, docx, .xlsx
%TEMP%\2bd1.tmp
C:\users\public\vbc.exe
%TEMP%\nso4625.tmp
%TEMP%\g45wniea1c9j45
%TEMP%\ljykkeryf
%TEMP%\rwuqghcobk.exe

Удаляет следующие файлы

%TEMP%\rwuqghcobk.exe

Сетевая активность

Подключается к

'10#.#68.33.31':80
'on#####licnudity.com':80
'pe#####prevent.online':80
'en####edhealth.com':80
'so###staci.com':80
'an######zgarhaliyikama.com':80
'sc######acherindemnity.com':80
'bo####tography.com':80
'me###llvic.com':80
'pa###aintl.com':80
'xn###btr36a.com':80
'gi######asadadhikari.com':80
're######gtothechurch.com':80
'sc#####cceptancefee.com':80

TCP

Запросы HTTP GET

http://10#.#68.33.31/pr/builder1.exe
http://www.on#####licnudity.com/qm8c/?Lt############################################################################################
http://www.pe#####prevent.online/qm8c/?Lt############################################################################################
http://www.en####edhealth.com/qm8c/?Lt############################################################################################
http://www.so###staci.com/qm8c/?Lt############################################################################################
http://www.an######zgarhaliyikama.com/qm8c/?Lt############################################################################################
http://www.sc######acherindemnity.com/qm8c/?Lt############################################################################################
http://www.bo####tography.com/qm8c/?Lt############################################################################################
http://www.me###llvic.com/qm8c/?Lt############################################################################################
http://www.pa###aintl.com/qm8c/?Lt############################################################################################
http://www.bo####tography.com/qm8c/?Lt##########################################################################################
http://www.xn###btr36a.com/qm8c/?Lt##########################################################################################
http://www.gi######asadadhikari.com/qm8c/?Lt##########################################################################################
http://www.an######zgarhaliyikama.com/qm8c/?Lt##########################################################################################
http://www.re######gtothechurch.com/qm8c/?Lt##########################################################################################
http://www.sc#####cceptancefee.com/qm8c/?Lt##########################################################################################