Exploit.Siggen3.39672

Техническая информация

Вредоносные функции

Создает и запускает на исполнение

'' (загружен из сети Интернет)

Создает и запускает на исполнение (эксплоит)

'C:\users\public\vbc.exe'

Внедряет код в

следующие системные процессы:

%WINDIR%\explorer.exe

Читает файлы, отвечающие за хранение паролей сторонними программами

%LOCALAPPDATA%\google\chrome\user data\default\login data
%LOCALAPPDATA%\google\chrome\user data\default\cookies
%LOCALAPPDATA%\google\chrome\user data\default\web data

Изменения в файловой системе

Создает следующие файлы

C:\users\public\vbc.exe
%TEMP%\nsrefe.tmp
%TEMP%\ovkxnznqx.l
%TEMP%\nfhztuorvv.hy
%TEMP%\tlpbgdur.exe
%TEMP%\czadhdz.zip
%TEMP%\sqlite3.def
%TEMP%\sqlite3.dll
%TEMP%\4184-48m
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
%LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol

Сетевая активность

Подключается к

'45.##.67.187':80
'ah##do.ch':80
'sq##te.org':80
'ia###-label.com':80
'cc##zj.com':80
'ho####market.com':80
'pu###ite.live':80
'am######aseverything.com':80
'3d##od.com':80
'35#####legavanzo.com':80
'ca###min.com':80
'mu####ediapages.com':80
've#####lcasino10.com':80

TCP

Запросы HTTP GET

http://45.##.67.187/dem/dem.exe
http://www.ah##do.ch/dcn0/?3f######################################################################################################################
http://www.sq##te.org/2018/sqlite-dll-win32-x86-3230000.zip
http://www.ia###-label.com/dcn0/?3f######################################################################################################################
http://www.cc##zj.com/dcn0/?3f######################################################################################################################
http://www.ho####market.com/dcn0/?3f######################################################################################################################
http://www.pu###ite.live/dcn0/?3f######################################################################################################################
http://www.am######aseverything.com/dcn0/?3f######################################################################################################################
http://www.3d##od.com/dcn0/?3f######################################################################################################################
http://www.35#####legavanzo.com/dcn0/?3f######################################################################################################################
http://www.ca###min.com/dcn0/?3f######################################################################################################################
http://www.mu####ediapages.com/dcn0/?3f######################################################################################################################
http://www.ve#####lcasino10.com/dcn0/?3f######################################################################################################################