Exploit.Siggen3.42197

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'WindowsUpdate' = ''
[HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'HFHPV' = '%ProgramFiles(x86)%\Windows Media Player\wmplayer.exe'

Вредоносные функции

Запускает на исполнение (эксплоит)

Внедряет код в

следующие системные процессы:

следующие пользовательские процессы:

Читает файлы, отвечающие за хранение паролей сторонними программами

Изменения в файловой системе

Создает следующие файлы

%TEMP%\client.log
%TEMP%\ez-00.zip
%TEMP%\sqlite3.def
%TEMP%\sqlite3.dll
%TEMP%\2721537727
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
%LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol

Удаляет следующие файлы

Сетевая активность

Подключается к

TCP

Запросы HTTP GET

http://www.so###iphone.com/6rpu/?A9#####################################################################################################################
http://www.sq##te.org/2021/sqlite-dll-win32-x86-3350000.zip
http://www.qs##7.com/6rpu/?A9#####################################################################################################################
http://www.fr###deals.buzz/6rpu/?A9#####################################################################################################################
http://www.sa###inizim.com/6rpu/?A9#####################################################################################################################
http://www.st####comunity.com/6rpu/?A9#####################################################################################################################
http://www.so###iphone.com/6rpu/?VV##################################################################################################################
http://www.qs##7.com/6rpu/?VV##################################################################################################################

Запросы HTTP POST

UDP

Другое

Создает и запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /C rundll32 %tmp%\Client.log,IEX AC' (со скрытым окном)
'%ProgramFiles(x86)%\windows media player\wmplayer.exe' %TEMP%\Client.log,IEX AC' (со скрытым окном)

Запускает на исполнение

'%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
'%WINDIR%\syswow64\rundll32.exe' %TEMP%\Client.log,IEX AC
'<SYSTEM32>\rundll32.exe' %TEMP%\Client.log,IEX AC
'%ProgramFiles(x86)%\windows media player\wmplayer.exe' %TEMP%\Client.log,IEX AC
'%ProgramFiles%\mozilla firefox\firefox.exe'