Exploit.Siggen3.38314

Техническая информация

Вредоносные функции

Создает и запускает на исполнение

'' (загружен из сети Интернет)

Создает и запускает на исполнение (эксплоит)

'C:\users\public\vbc.exe'

Внедряет код в

следующие системные процессы:

%WINDIR%\explorer.exe

Читает файлы, отвечающие за хранение паролей сторонними программами

%LOCALAPPDATA%\google\chrome\user data\default\login data
%LOCALAPPDATA%\google\chrome\user data\default\cookies
%LOCALAPPDATA%\google\chrome\user data\default\web data

Изменения в файловой системе

Создает следующие файлы

C:\users\public\vbc.exe
%TEMP%\oxijyfhbfoz.xu
%TEMP%\dvvdxu.j
%TEMP%\iclmvz.exe
%TEMP%\f2kdm.zip
%TEMP%\sqlite3.def
%TEMP%\sqlite3.dll
%TEMP%\5e6ij59nak
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
%LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol

Сетевая активность

Подключается к

'10#.#80.133.133':80
'39##idu.com':80
'sq##te.org':80
'ma####travel.com':80
'ka###n13.buzz':80
'es#####elcourtage.net':80
'sd###ambly.com':80
'ha#####ddymagazine.com':80
'da###stern.shop':80
'pa###nt.website':80
'wr###ams.com':80
'id##.icu':80
'un###mian.com':80

TCP

Запросы HTTP GET

http://10#.#80.133.133/documment/vbc.exe
http://www.39##idu.com/u6hu/?9r#################################################################################################################
http://www.sq##te.org/2020/sqlite-dll-win32-x86-3330000.zip
http://www.ma####travel.com/u6hu/?9r#################################################################################################################
http://www.ka###n13.buzz/u6hu/?9r#################################################################################################################
http://www.sd###ambly.com/u6hu/?9r#################################################################################################################
http://www.ha#####ddymagazine.com/u6hu/?9r#################################################################################################################
http://www.da###stern.shop/u6hu/?9r#################################################################################################################
http://www.pa###nt.website/u6hu/?9r#################################################################################################################
http://www.wr###ams.com/u6hu/?9r#################################################################################################################
http://www.id##.icu/u6hu/?9r#################################################################################################################
http://www.un###mian.com/u6hu/?9r#################################################################################################################