Exploit.Siggen3.32413

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\updates\iguspjsd

Вредоносные функции

Создает и запускает на исполнение

'' (загружен из сети Интернет)

Создает и запускает на исполнение (эксплоит)

'C:\users\public\vbc.exe'

Внедряет код в

следующие системные процессы:

%WINDIR%\explorer.exe

Изменения в файловой системе

Создает следующие файлы

C:\users\public\vbc.exe
%APPDATA%\iguspjsd.exe
%TEMP%\tmpec61.tmp
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
%LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol

Присваивает атрибут 'скрытый' для следующих файлов

%APPDATA%\iguspjsd.exe

Удаляет следующие файлы

%TEMP%\tmpec61.tmp

Сетевая активность

Подключается к

'23.##.52.206':80
'fi####lostphone.me':80
'st####ne-pools.com':80
'ze##d.com':80
'ga###rsvip.com':80
'sg#####ampusrentals.com':80
'lu#####athshowers.com':80
'ia##i.run':80
'ma###rima.net':80
'ja####eadtanusa.com':80
'de###clicks.com':80

TCP

Запросы HTTP GET

http://23.##.52.206/600/vbc.exe
http://www.fi####lostphone.me/n6g4/?Kr#######################################################################################
http://www.st####ne-pools.com/n6g4/?Kr#######################################################################################
http://www.ze##d.com/n6g4/?Kr#######################################################################################
http://www.ga###rsvip.com/n6g4/?Kr#######################################################################################
http://www.sg#####ampusrentals.com/n6g4/?Kr#######################################################################################
http://www.lo####marias.com/n6g4/?Kr#######################################################################################
http://www.lu#####athshowers.com/n6g4/?Kr#######################################################################################
http://www.ia##i.run/n6g4/?Kr#######################################################################################
http://www.ma###rima.net/n6g4/?Kr#######################################################################################
http://www.ja####eadtanusa.com/n6g4/?Kr#######################################################################################
http://www.cl######sphotographyllc.com/n6g4/?Kr#######################################################################################
http://www.de###clicks.com/n6g4/?Kr#######################################################################################

UDP

DNS ASK fi####lostphone.me
DNS ASK st####ne-pools.com
DNS ASK ze##d.com
DNS ASK ga###rsvip.com
DNS ASK sg#####ampusrentals.com
DNS ASK lo####marias.com
DNS ASK lu#####athshowers.com
DNS ASK ia##i.run
DNS ASK ma###rima.net
DNS ASK sc###ova.online
DNS ASK ja####eadtanusa.com
DNS ASK cl######sphotographyllc.com
DNS ASK ad###cost.com
DNS ASK de###clicks.com

Другое

Создает и запускает на исполнение

'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%APPDATA%\IGuSPjSd.exe"
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%APPDATA%\IGuSPjSd.exe"' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Updates\IGuSPjSd" /XML "%TEMP%\tmpEC61.tmp"' (со скрытым окном)

Запускает на исполнение

'%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Updates\IGuSPjSd" /XML "%TEMP%\tmpEC61.tmp"
'%WINDIR%\syswow64\msiexec.exe'
'%ProgramFiles(x86)%\mozilla firefox\firefox.exe'