Exploit.Siggen3.39204

Техническая информация

Вредоносные функции

Создает и запускает на исполнение

'' (загружен из сети Интернет)

Создает и запускает на исполнение (эксплоит)

'C:\users\public\vbc.exe'

Внедряет код в

следующие системные процессы:

%WINDIR%\explorer.exe

Читает файлы, отвечающие за хранение паролей сторонними программами

%LOCALAPPDATA%\google\chrome\user data\default\cookies
%LOCALAPPDATA%\google\chrome\user data\default\web data
%LOCALAPPDATA%\google\chrome\user data\default\login data

Изменения в файловой системе

Создает следующие файлы

C:\users\public\vbc.exe
%TEMP%\nsm1767.tmp
%TEMP%\ehpnc.ej
%TEMP%\avpjg.ooi
%TEMP%\bwrdbhg.exe
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
%LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
%TEMP%\ohwh3hup.zip
%TEMP%\sqlite3.def
%TEMP%\sqlite3.dll
%TEMP%\1uq4544

Сетевая активность

Подключается к

'18#.#46.220.183':80
'bt#####ibition20.com':80
'sq##te.org':80
'ac####abaule.com':80
'go####tria.online':80
'49##8.net':80
'do###hi88.com':80
'ad##exs.com':80
'bo###ehead8.com':80
'bo###in.website':80
'gl###wene.com':80

TCP

Запросы HTTP GET

http://18#.#46.220.183/ije/INV.exe
http://www.bt#####ibition20.com/gbhu/?Ck######################################################################################################################
http://www.sq##te.org/2022/sqlite-dll-win32-x86-3370000.zip
http://www.sq##te.org/2018/sqlite-dll-win32-x86-3260000.zip
http://www.ac####abaule.com/gbhu/?Ck######################################################################################################################
http://www.go####tria.online/gbhu/?Ck######################################################################################################################
http://www.49##8.net/gbhu/?Ck######################################################################################################################
http://www.do###hi88.com/gbhu/?Ck######################################################################################################################
http://www.ad##exs.com/gbhu/?Ck######################################################################################################################
http://www.bo###ehead8.com/gbhu/?Ck######################################################################################################################
http://www.bo###in.website/gbhu/?Ck######################################################################################################################
http://www.de###uesday.com/gbhu/?Ck######################################################################################################################