Exploit.Siggen3.33708

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'AF0DUJLHUBNX' = '%ProgramFiles(x86)%\Bfjo\gdi9rql2vr.exe'

Вредоносные функции

Создает и запускает на исполнение

'' (загружен из сети Интернет)

Создает и запускает на исполнение (эксплоит)

'C:\users\public\vbc.exe'

Внедряет код в

следующие системные процессы:

%WINDIR%\explorer.exe

Изменения в файловой системе

Создает следующие файлы

C:\users\public\vbc.exe
%TEMP%\h6tshj681dnij8va8m
%TEMP%\pemyfhiu
%TEMP%\xziqrztzu.exe
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
%LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
%TEMP%\bfjo\gdi9rql2vr.exe
%ProgramFiles(x86)%\bfjo\gdi9rql2vr.exe

Удаляет следующие файлы

%TEMP%\xziqrztzu.exe

Сетевая активность

Подключается к

'45.##7.230.208':80
're###ies.com':80
'pu###eer.xyz':80
'jc##.com':80
'cg##l.com':80
'yz##ech.top':80
'df####jdjifs.xyz':80
'nd##.com':80
'le###gjgj.com':80
'vi##om.com':80
'51##ask.com':80
'fu###ubz.xyz':80
'ca#####coin.technology':80
're####rsanders.com':80

TCP

Запросы HTTP GET

http://45.##7.230.208/1728/vbc.exe
http://www.re###ies.com/igi8/?2d######################################################################################
http://www.pu###eer.xyz/igi8/?2d####################################################################################################
http://www.jc##.com/igi8/?2d####################################################################################################
http://www.cg##l.com/igi8/?2d####################################################################################################
http://www.yz##ech.top/igi8/?2d####################################################################################################
http://www.df####jdjifs.xyz/igi8/?2d####################################################################################################
http://www.nd##.com/igi8/?2d####################################################################################################
http://www.vi##om.com/igi8/?2d####################################################################################################
http://www.51##ask.com/igi8/?2d####################################################################################################
http://www.fu###ubz.xyz/igi8/?2d####################################################################################################
http://www.ca#####coin.technology/igi8/?2d####################################################################################################
http://www.re###ies.com/igi8/?2d####################################################################################################
http://www.re####rsanders.com/igi8/?2d#################################################################################################