Exploit.Siggen3.34337

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'MJ8LWPF' = '%ProgramFiles(x86)%\Mojittv\helpyt8h.exe'

Вредоносные функции

Создает и запускает на исполнение

'' (загружен из сети Интернет)

Создает и запускает на исполнение (эксплоит)

'C:\users\public\vbc.exe'

Внедряет код в

следующие системные процессы:

%WINDIR%\explorer.exe

Завершает или пытается завершить

следующие системные процессы:

%WINDIR%\microsoft.net\framework\v4.0.30319\installutil.exe

Изменения в файловой системе

Создает следующие файлы

C:\users\public\vbc.exe
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
%LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol

Удаляет следующие файлы

%WINDIR%\microsoft.net\framework\v4.0.30319\installutil.exe

Сетевая активность

Подключается к

'10#.#32.55.60':80
'sz##xwj.com':80
're##se.xyz':80
'qu###venue.com':80
'tr####2ranch.com':80
'at##ad.com':80
'nu###oken.site':80
'ba##121.com':80
'sa#####eshitadesign.com':80
'cr#####eartiscapes.com':80
'mo#####oadpodcast.net':80
'tr###88t.com':80
'el#####dlovesource.com':80
'5t##57.xyz':80

TCP

Запросы HTTP GET

http://10#.#32.55.60/spaceX/vbc.exe
http://www.sz##xwj.com/ttju/?NN##############################################################################################
http://www.re##se.xyz/ttju/?NN##############################################################################################
http://www.qu###venue.com/ttju/?NN##############################################################################################
http://www.tr####2ranch.com/ttju/?NN##############################################################################################
http://www.at##ad.com/ttju/?NN##############################################################################################
http://www.nu###oken.site/ttju/?NN##############################################################################################
http://www.ba##121.com/ttju/?NN##############################################################################################
http://www.sa#####eshitadesign.com/ttju/?NN##############################################################################################
http://www.cr#####eartiscapes.com/ttju/?NN##############################################################################################
http://www.mo#####oadpodcast.net/ttju/?NN##############################################################################################
http://www.tr###88t.com/ttju/?NN##############################################################################################
http://www.el#####dlovesource.com/ttju/?NN############################################################################################################

UDP

DNS ASK sz##xwj.com
DNS ASK re##se.xyz
DNS ASK qu###venue.com
DNS ASK tr####2ranch.com
DNS ASK at##ad.com
DNS ASK nu###oken.site
DNS ASK ba##121.com
DNS ASK sa#####eshitadesign.com
DNS ASK cr#####eartiscapes.com
DNS ASK mo#####oadpodcast.net
DNS ASK tr###88t.com
DNS ASK el#####dlovesource.com
DNS ASK 5t##57.xyz

Другое

Запускает на исполнение

'%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
'%WINDIR%\microsoft.net\framework\v4.0.30319\installutil.exe'
'%WINDIR%\syswow64\control.exe'
'%WINDIR%\syswow64\cmd.exe' del "%WINDIR%\Microsoft.NET\Framework\v4.0.30319\InstallUtil.exe"
'%ProgramFiles(x86)%\mozilla firefox\firefox.exe'