Exploit.Siggen3.34684

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'KTXHYXZH547' = '%ProgramFiles(x86)%\Jonuxor50\update1b3dufw8.exe'

Вредоносные функции

Создает и запускает на исполнение

'' (загружен из сети Интернет)

Создает и запускает на исполнение (эксплоит)

'C:\users\public\vbc.exe'

Внедряет код в

следующие системные процессы:

%WINDIR%\explorer.exe

Изменения в файловой системе

Создает следующие файлы

C:\users\public\vbc.exe
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
%LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
%TEMP%\l2lpn.zip
%TEMP%\sqlite3.def
%TEMP%\sqlite3.dll

Удаляет следующие файлы

C:\users\public\vbc.exe

Сетевая активность

Подключается к

'10#.#72.76.188':80
'di####ed-labs.com':80
'to####ndyfinds.com':80
'gg###his.com':80
'co######codingclasses.com':80
'er###udi.net':80
'ww###h4949.com':80
'ap##bdc.com':80
'hn###nfu.com':80
'sy#####ortifynance.com':80
'ji####morocco.com':80
'bo#####forestfarm.com':80
'ch###lan.com':80
'sq##te.org':80

TCP

Запросы HTTP GET

http://10#.#72.76.188/d/otu.exe
http://www.di####ed-labs.com/roz2/?5j##########################################################################################
http://www.to####ndyfinds.com/roz2/?5j##########################################################################################
http://www.gg###his.com/roz2/?5j##########################################################################################
http://www.co######codingclasses.com/roz2/?5j##########################################################################################
http://www.er###udi.net/roz2/?5j##########################################################################################
http://www.ww###h4949.com/roz2/?5j##########################################################################################
http://www.ap##bdc.com/roz2/?5j##########################################################################################
http://www.hn###nfu.com/roz2/?5j##########################################################################################
http://www.sy#####ortifynance.com/roz2/?5j##########################################################################################
http://www.ji####morocco.com/roz2/?5j##########################################################################################
http://www.bo#####forestfarm.com/roz2/?5j##########################################################################################
http://www.ch###lan.com/roz2/?5j##########################################################################################
http://www.sq##te.org/2014/sqlite-dll-win32-x86-3080500.zip

UDP

DNS ASK di####ed-labs.com
DNS ASK to####ndyfinds.com
DNS ASK gg###his.com
DNS ASK co######codingclasses.com
DNS ASK er###udi.net
DNS ASK ww###h4949.com
DNS ASK ap##bdc.com
DNS ASK hn###nfu.com
DNS ASK sy#####ortifynance.com
DNS ASK ji####morocco.com
DNS ASK bo#####forestfarm.com
DNS ASK sc####-online.space
DNS ASK ch###lan.com
DNS ASK sq##te.org

Другое

Запускает на исполнение

'%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
'%WINDIR%\syswow64\explorer.exe'
'%WINDIR%\syswow64\cmd.exe' del "C:\Users\Public\vbc.exe"
'%ProgramFiles(x86)%\mozilla firefox\firefox.exe'
'%WINDIR%\syswow64\cmd.exe' copy "%LOCALAPPDATA%\Google\Chrome\User Data\Default\Login Data" "%TEMP%\DB1" /V