Exploit.Siggen3.33583

Technical Information

To ensure autorun and distribution

Modifies the following registry keys

[<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] '-ZBXDZIX' = '%ProgramFiles(x86)%\Flpxpl\gdidrwtjreh.exe'

Malicious functions

Creates and executes the following

'' (downloaded from the Internet)

Creates and executes the following (exploit)

'C:\users\public\vbc.exe'

Injects code into

the following system processes:

%WINDIR%\explorer.exe

Modifies file system

Creates the following files

C:\users\public\vbc.exe
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
%LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol

Deletes the following files

%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe

Network activity

Connects to

'18#.#14.238.224':80
'xn######z6fwvan2be1g5tb.com':80
'bi####lerviss.com':80
'14#####simportantes.com':80
'de#######youradviceblogspot.com':80
'hu##o.com':80
'mo###ahs.com':80
'yo##tec.com':80
'me######yaarifmetika.online':80
'ta###orest.com':80
'ch####ultfleurs.com':80
'sh######icalstaffing.agency':80
'en####onnect.net':80
'wa####ehills.com':80
'em#####d-electronic.com':80
'sk###abinet.com':80
'de#####anninglids.com':80
'qh###hang.com':80
'lo#####rovements.com':80
'bu##y4t.com':80

TCP

HTTP GET requests

http://18#.#14.238.224/mscloud11/vbc.exe
http://www.xn######z6fwvan2be1g5tb.com/ocgr/?gb##########################################################################################
http://www.bi####lerviss.com/ocgr/?gb##########################################################################################
http://www.14#####simportantes.com/ocgr/?gb##########################################################################################
http://www.de#######youradviceblogspot.com/ocgr/?gb##########################################################################################
http://www.hu##o.com/ocgr/?gb##########################################################################################
http://www.yo##tec.com/ocgr/?gb###################################################################################
http://www.me######yaarifmetika.online/ocgr/?gb###################################################################################
http://www.lo#####rovements.com/ocgr/?gb##########################################################################################
http://www.ta###orest.com/ocgr/?gb###################################################################################
http://www.sh######icalstaffing.agency/ocgr/?gb###################################################################################
http://www.en####onnect.net/ocgr/?gb###################################################################################
http://www.wa####ehills.com/ocgr/?gb###################################################################################
http://www.em#####d-electronic.com/ocgr/?gb###################################################################################
http://www.sk###abinet.com/ocgr/?gb###################################################################################
http://www.de#####anninglids.com/ocgr/?gb###################################################################################
http://www.qh###hang.com/ocgr/?gb###################################################################################
http://www.ch####ultfleurs.com/ocgr/?gb###################################################################################
http://www.bu##y4t.com/ocgr/?gb###################################################################################

UDP

DNS ASK qh###hang.com
DNS ASK xn######z6fwvan2be1g5tb.com
DNS ASK bi####lerviss.com
DNS ASK 14#####simportantes.com
DNS ASK de#######youradviceblogspot.com
DNS ASK hu##o.com
DNS ASK my####onloan.net
DNS ASK mo###ahs.com
DNS ASK yo##tec.com
DNS ASK de###batmaz.com
DNS ASK me######yaarifmetika.online
DNS ASK ta###orest.com
DNS ASK ch####ultfleurs.com
DNS ASK sh######icalstaffing.agency
DNS ASK en####onnect.net
DNS ASK wa####ehills.com
DNS ASK em#####d-electronic.com
DNS ASK sk###abinet.com
DNS ASK de#####anninglids.com
DNS ASK zy####us.website
DNS ASK lo#####rovements.com
DNS ASK bu##y4t.com

Miscellaneous

Executes the following

'%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
'%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe'
'%WINDIR%\syswow64\cscript.exe'
'%WINDIR%\syswow64\cmd.exe' del "%WINDIR%\Microsoft.NET\Framework\v4.0.30319\cvtres.exe"
'%ProgramFiles(x86)%\mozilla firefox\firefox.exe'