Exploit.Siggen3.34721

Technical Information

To ensure autorun and distribution

Modifies the following registry keys

[<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'FBCTOLW0O6S' = '%ProgramFiles(x86)%\Qxrd0hbm\taskhosttdc.exe'

Malicious functions

Creates and executes the following

'' (downloaded from the Internet)

Creates and executes the following (exploit)

'C:\users\public\vbc.exe'

Injects code into

the following system processes:

%WINDIR%\explorer.exe

the following user processes:

taskhosttdc.exe

Modifies file system

Creates the following files

C:\users\public\vbc.exe
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
%LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
%TEMP%\qxrd0hbm\taskhosttdc.exe
%ProgramFiles(x86)%\qxrd0hbm\taskhosttdc.exe

Deletes the following files

C:\users\public\vbc.exe

Network activity

Connects to

'10#.#73.229.181':80
'dr####fruitting.com':80
'cd#.##scordapp.com':443
'ti###is23.com':80
'wh##xl.icu':80
'vt###health.com':80
'za###photo.com':80
'sa####jewelry.com':80
'tu##pot.com':80
'ic###s-soft.com':80
'bo#####ishstudios.com':80
'mi##ots.com':80
'th#####nd-create.com':80
'ta###joao.com':80
'as####rance.online':80
'xc##he.com':80

TCP

HTTP GET requests

http://10#.#73.229.181/250/vbc.exe
http://www.ta###joao.com/uem3/?MB###########################################################################################################
http://www.ti###is23.com/uem3/?MB####################################################################################################
http://www.th#####nd-create.com/uem3/?MB####################################################################################################
http://www.mi##ots.com/uem3/?MB####################################################################################################
http://www.bo#####ishstudios.com/uem3/?MB####################################################################################################
http://www.vi###bank.com/uem3/?MB####################################################################################################
http://www.as####rance.online/uem3/?MB###########################################################################################################
http://www.ic###s-soft.com/uem3/?MB####################################################################################################
http://www.sa####jewelry.com/uem3/?MB####################################################################################################
http://www.za###photo.com/uem3/?MB####################################################################################################
http://www.vt###health.com/uem3/?MB####################################################################################################
http://www.wh##xl.icu/uem3/?MB####################################################################################################
http://www.ti###is23.com/uem3/?MB######################################################################################
http://dr####fruitting.com/NnMbE.exe
http://www.tu##pot.com/uem3/?MB####################################################################################################
http://www.xc##he.com/uem3/?MB###########################################################################################################