Exploit.Siggen3.36757

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\updates\tfdvnitlssadr

Вредоносные функции

Создает и запускает на исполнение

'' (загружен из сети Интернет)

Создает и запускает на исполнение (эксплоит)

'C:\users\public\regasm_svch.exe'

Внедряет код в

следующие системные процессы:

%WINDIR%\explorer.exe

Завершает или пытается завершить

следующие системные процессы:

%WINDIR%\microsoft.net\framework\v4.0.30319\regsvcs.exe

Изменения в файловой системе

Создает следующие файлы

C:\users\public\regasm_svch.exe
%APPDATA%\tfdvnitlssadr.exe
%TEMP%\tmp191b.tmp
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
%LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol

Присваивает атрибут 'скрытый' для следующих файлов

%APPDATA%\tfdvnitlssadr.exe

Удаляет следующие файлы

%TEMP%\tmp191b.tmp

Сетевая активность

Подключается к

'10#.#73.229.181':80
'as####d-ohio.com':80
'sq##te.org':80
'pa#####systemsinc.com':80
'ro###thm.com':80
'su#####nummerbelgie.com':80
'pl######edondobeachca.com':80
'be####actices.legal':80
'ea####kola.online':80
'pu####lataiga.xyz':80
'no###nfree.net':80
'hh#####bhj-hvdvd.online':80
've####igital.com':80

TCP

Запросы HTTP GET

http://10#.#73.229.181/shiniko.exe
http://www.as####d-ohio.com/rm0g/?BB########################################################################################################################
http://www.sq##te.org/2014/sqlite-dll-win32-x86-3080600.zip
http://www.pa#####systemsinc.com/rm0g/?BB########################################################################################################################
http://www.ro###thm.com/rm0g/?BB########################################################################################################################
http://www.su#####nummerbelgie.com/rm0g/?BB########################################################################################################################
http://www.pl######edondobeachca.com/rm0g/?BB########################################################################################################################
http://www.be####actices.legal/rm0g/?BB########################################################################################################################
http://www.ea####kola.online/rm0g/?BB########################################################################################################################
http://www.pu####lataiga.xyz/rm0g/?BB########################################################################################################################
http://www.si####olutions.net/rm0g/?BB########################################################################################################################
http://www.no###nfree.net/rm0g/?BB########################################################################################################################
http://www.hh#####bhj-hvdvd.online/rm0g/?BB########################################################################################################################
http://www.ve####igital.com/rm0g/?BB########################################################################################################################

UDP

DNS ASK as####d-ohio.com
DNS ASK sq##te.org
DNS ASK pa#####systemsinc.com
DNS ASK ro###thm.com
DNS ASK su#####nummerbelgie.com
DNS ASK pl######edondobeachca.com
DNS ASK be####actices.legal
DNS ASK ea####kola.online
DNS ASK pu####lataiga.xyz
DNS ASK si####olutions.net
DNS ASK no###nfree.net
DNS ASK hh#####bhj-hvdvd.online
DNS ASK ve####igital.com

Другое

Создает и запускает на исполнение

'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%APPDATA%\tFdvNITlssADR.exe"
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%APPDATA%\tFdvNITlssADR.exe"' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Updates\tFdvNITlssADR" /XML "%TEMP%\tmp191B.tmp"' (со скрытым окном)

Запускает на исполнение

'%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Updates\tFdvNITlssADR" /XML "%TEMP%\tmp191B.tmp"
'%WINDIR%\microsoft.net\framework\v4.0.30319\regsvcs.exe'
'%WINDIR%\syswow64\wuapp.exe'
'%ProgramFiles(x86)%\mozilla firefox\firefox.exe'