Exploit.Siggen3.36580

Техническая информация

Вредоносные функции

Создает и запускает на исполнение (эксплоит)

'%TEMP%\client.exe' AC

Запускает на исполнение (эксплоит)

'%WINDIR%\syswow64\cmd.exe' /C %tmp%\Client.exe AC

Внедряет код в

следующие системные процессы:

%WINDIR%\explorer.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\client.exe
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
%LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol

Удаляет следующие файлы

%TEMP%\client.exe

Сетевая активность

Подключается к

'ma####rect.co.uk':80
'xi####nwangdai.com':80
'0b###print.xyz':80
'fa###lthi.com':80
'so####onsdr.website':80
'vi###detail.com':80
'st#####inimierer.com':80
'la####ancahaya.com':80
'xo##vod.com':80
'po###tream.com':80
'wp###snag.com':80
'di######tiondesaveurs.com':80
'ba###ucks.com':80
'ro######ningservices.org':80
'ab####ble.website':80
'ho###ala.com':80
'sq##te.org':80
'82##66.com':80
'bi###cim.xyz':80

TCP

Запросы HTTP GET

http://www.ma####rect.co.uk/aekc/?A8##################################################################################################################
http://www.xi####nwangdai.com/aekc/?A8##################################################################################################################
http://www.0b###print.xyz/aekc/?A8##################################################################################################################
http://www.fa###lthi.com/aekc/?A8##################################################################################################################
http://www.so####onsdr.website/aekc/?A8##################################################################################################################
http://www.vi###detail.com/aekc/?A8##################################################################################################################
http://www.st#####inimierer.com/aekc/?A8##################################################################################################################
http://www.la####ancahaya.com/aekc/?A8##################################################################################################################
http://www.xo##vod.com/aekc/?A8##################################################################################################################
http://www.po###tream.com/aekc/?A8##################################################################################################################
http://www.wp###snag.com/aekc/?A8##################################################################################################################
http://www.di######tiondesaveurs.com/aekc/?A8##################################################################################################################
http://www.ba###ucks.com/aekc/?A8##################################################################################################################
http://www.ro######ningservices.org/aekc/?A8##################################################################################################################
http://www.ab####ble.website/aekc/?A8##################################################################################################################
http://www.ho###ala.com/aekc/?A8##################################################################################################################
http://www.sq##te.org/2014/sqlite-dll-win32-x86-3080700.zip
http://www.82##66.com/aekc/?A8##################################################################################################################
http://www.bi###cim.xyz/aekc/?A8##################################################################################################################

UDP

DNS ASK ma####rect.co.uk
DNS ASK xi####nwangdai.com
DNS ASK 0b###print.xyz
DNS ASK fa###lthi.com
DNS ASK so####onsdr.website
DNS ASK vi###detail.com
DNS ASK st#####inimierer.com
DNS ASK la####ancahaya.com
DNS ASK po###tream.com
DNS ASK 82##66.com
DNS ASK wp###snag.com
DNS ASK di######tiondesaveurs.com
DNS ASK ba###ucks.com
DNS ASK ro######ningservices.org
DNS ASK ab####ble.website
DNS ASK ho###ala.com
DNS ASK lu####erra.online
DNS ASK sq##te.org
DNS ASK xo##vod.com
DNS ASK bi###cim.xyz

Другое

Создает и запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /C %tmp%\Client.exe AC' (со скрытым окном)
'%WINDIR%\syswow64\notepad.exe' /Processid:{16380182-20EB-4378-B255-20755C4AC74F}' (со скрытым окном)

Запускает на исполнение

'%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
'%WINDIR%\syswow64\notepad.exe' /Processid:{16380182-20EB-4378-B255-20755C4AC74F}
'%WINDIR%\syswow64\control.exe'
'%ProgramFiles(x86)%\mozilla firefox\firefox.exe'