Exploit.Siggen3.41196

Technical Information

Malicious functions

Creates and executes the following

'' (downloaded from the Internet)

Creates and executes the following (exploit)

'C:\users\public\vbc.exe'

Injects code into

the following system processes:

%WINDIR%\explorer.exe

Terminates or attempts to terminate

the following system processes:

%WINDIR%\microsoft.net\framework64\v4.0.30319\datasvcutil.exe

Reads files which store third party applications passwords

%LOCALAPPDATA%\google\chrome\user data\default\login data
%LOCALAPPDATA%\google\chrome\user data\default\cookies
%LOCALAPPDATA%\google\chrome\user data\default\web data

Modifies file system

Creates the following files

C:\users\public\vbc.exe
%TEMP%\4hz0vji.zip
%TEMP%\sqlite3.def
%TEMP%\sqlite3.dll
%TEMP%\hi4nj046k
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
%LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol

Network activity

Connects to

'10#.#89.202.84':80
'wh###-hat.uk':80
'sq##te.org':80
'gr###lab.com':80
'bi####vicesltd.com':80
'22###bking.org':80
'en######rvicestation.com':80
'yo###ock.com':80
'th######hotographer.co.uk':80
'sh###hit.xyz':80
'th#####nerudraksha.com':80
'un###ject.com':80
'av####zervee.com':80

TCP

HTTP GET requests

http://10#.#89.202.84/R00821/vbc.exe
http://www.wh###-hat.uk/u2kb/?yL#######################################################################################################################
http://www.sq##te.org/2022/sqlite-dll-win32-x86-3380000.zip
http://www.gr###lab.com/u2kb/?yL#######################################################################################################################
http://www.bi####vicesltd.com/u2kb/?yL#######################################################################################################################
http://www.22###bking.org/u2kb/?yL#######################################################################################################################
http://www.en######rvicestation.com/u2kb/?yL#######################################################################################################################
http://www.yo###ock.com/u2kb/?yL#######################################################################################################################
http://www.th######hotographer.co.uk/u2kb/?yL#######################################################################################################################
http://www.sh###hit.xyz/u2kb/?yL#######################################################################################################################
http://www.th#####nerudraksha.com/u2kb/?yL#######################################################################################################################
http://www.un###ject.com/u2kb/?yL#######################################################################################################################
http://www.av####zervee.com/u2kb/?yL#######################################################################################################################