Exploit.Siggen3.41165

Техническая информация

Вредоносные функции

Создает и запускает на исполнение

'' (загружен из сети Интернет)

Создает и запускает на исполнение (эксплоит)

'C:\users\public\vbc.exe'

Внедряет код в

следующие системные процессы:

%WINDIR%\explorer.exe

Читает файлы, отвечающие за хранение паролей сторонними программами

%LOCALAPPDATA%\google\chrome\user data\default\cookies
%LOCALAPPDATA%\google\chrome\user data\default\web data
%LOCALAPPDATA%\google\chrome\user data\default\login data

Изменения в файловой системе

Создает следующие файлы

C:\users\public\vbc.exe
%TEMP%\nsg3a33.tmp
%TEMP%\gevxr.b
%TEMP%\iabds.l
%TEMP%\dpxfzdzt.exe
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
%LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
%TEMP%\wfgx2b.zip
%TEMP%\sqlite3.def
%TEMP%\sqlite3.dll
%TEMP%\hi4nj046k

Сетевая активность

Подключается к

'10#.#89.202.84':80
'wh###-hat.uk':80
'sq##te.org':80
'gr###lab.com':80
'bi####vicesltd.com':80
'22###bking.org':80
'en######rvicestation.com':80
'yo###ock.com':80
'th######hotographer.co.uk':80
'sh###hit.xyz':80
'th#####nerudraksha.com':80
'un###ject.com':80
'av####zervee.com':80
'ge###nreps.com':80
'ec####ietsen.com':80
'my#####llojistik.online':80

TCP

Запросы HTTP GET

http://10#.#89.202.84/111722000/vbc.exe
http://www.wh###-hat.uk/u2kb/?qt#####################################################################################################################
http://www.sq##te.org/2021/sqlite-dll-win32-x86-3340000.zip
http://www.sq##te.org/2020/sqlite-dll-win32-x86-3320000.zip
http://www.gr###lab.com/u2kb/?qt#####################################################################################################################
http://www.bi####vicesltd.com/u2kb/?qt#####################################################################################################################
http://www.22###bking.org/u2kb/?qt#####################################################################################################################
http://www.en######rvicestation.com/u2kb/?qt#####################################################################################################################
http://www.yo###ock.com/u2kb/?qt#####################################################################################################################
http://www.th######hotographer.co.uk/u2kb/?qt#####################################################################################################################
http://www.sh###hit.xyz/u2kb/?qt#####################################################################################################################
http://www.th#####nerudraksha.com/u2kb/?qt#####################################################################################################################
http://www.un###ject.com/u2kb/?qt#####################################################################################################################
http://www.av####zervee.com/u2kb/?qt#####################################################################################################################
http://www.ge###nreps.com/u2kb/?qt#####################################################################################################################
http://www.ec####ietsen.com/u2kb/?qt#####################################################################################################################