Exploit.Siggen3.30332

Technical Information

To ensure autorun and distribution

Modifies the following registry keys

[<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Izqntwy' = 'C:\Users\Public\ywtnqzI.url'

Malicious functions

Creates and executes the following

'' (downloaded from the Internet)

Creates and executes the following (exploit)

'C:\users\public\vbc.exe'

Injects code into

the following system processes:

%WINDIR%\explorer.exe

Modifies file system

Creates the following files

C:\users\public\vbc.exe
C:\users\public\izqntwy.exe
C:\users\public\ywtnqzi.url

Network activity

Connects to

'19#.#3.212.185':80
'ar####5genesh.com':80
'di#####nectionbuild.com':80
'hu###-hk.com':80
'fk##g.biz':80
'de###tohope.com':80
'lu####r-traum.net':80
'ch#######chickenandfriends.com':80
'lh##rj.com':80
'ro###usa.com':80
'so#####gineering.com':80
'ha###omered.com':80
'gi##ex.com':80
'tb##e.plus':80
'aa##eg.net':80
'aw###bus.com':80

TCP

HTTP GET requests

http://19#.#3.212.185/560/vbc.exe
http://www.de###tohope.com/a2c8/?Xr###########################################################################################
http://www.tb##e.plus/a2c8/?Xr###########################################################################################
http://www.gi##ex.com/a2c8/?Xr###########################################################################################
http://www.ha###omered.com/a2c8/?Xr###########################################################################################
http://www.sd###nglish.com/a2c8/?Xr##############################################################################################
http://www.so#####gineering.com/a2c8/?Xr##############################################################################################
http://www.ro###usa.com/a2c8/?Xr##############################################################################################
http://www.aa##eg.net/a2c8/?Xr###########################################################################################
http://www.pr#####spatchers.com/a2c8/?Xr##############################################################################################
http://www.ch#######chickenandfriends.com/a2c8/?Xr##############################################################################################
http://www.lu####r-traum.net/a2c8/?Xr##############################################################################################
http://www.de###tohope.com/a2c8/?Xr##############################################################################################
http://www.fk##g.biz/a2c8/?Xr##############################################################################################
http://www.hu###-hk.com/a2c8/?Xr##############################################################################################
http://www.di#####nectionbuild.com/a2c8/?Xr##############################################################################################
http://ar####5genesh.com/vvvvvvvvvvvvvvvvvvvvvvvvvvvvvvvvvvvvvvvvvvvvvvvvvvv/Izqntwyxutbanbjksfuazfsxdqbthcr
http://www.lh##rj.com/a2c8/?Xr##############################################################################################
http://www.aw###bus.com/a2c8/?Xr###########################################################################################