Exploit.Siggen2.48515

Added to the Dr.Web virus database: 2020-10-12

Virus description added: 2020-10-14

Для обеспечения автозапуска и распространения

Создает следующие файлы на съемном носителе

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует отображение:

Создает и запускает на исполнение

Создает и запускает на исполнение (эксплоит)

Внедряет код в

следующие системные процессы:

следующие пользовательские процессы:

Ищет ветки реестра, отвечающие за хранение паролей сторонними программами

[<HKCU>\Software\Google\Google Talk\Accounts]
[<HKCU>\Software\Microsoft\Internet Account Manager\Accounts]
[<HKCU>\Software\Microsoft\Office\Outlook\OMI Account Manager\Accounts]
[<HKCU>\Identities\{91255D00-95D9-49F5-8E84-7C027F5283B7}\Software\Microsoft\Internet Account Manager\Accounts]
[<HKCU>\Identities\{91255D00-95D9-49F5-8E84-7C027F5283B7}\Software\Microsoft\Office\Outlook\OMI Account Manager\Accounts]
[<HKCU>\Software\Microsoft\MSNMessenger]
[<HKCU>\Software\Yahoo\Pager]
[<HKCU>\Software\Microsoft\IdentityCRL]
[<HKCU>\Software\Microsoft\Windows Live Mail]

Изменения в файловой системе

Создает следующие файлы

Присваивает атрибут 'скрытый' для следующих файлов

Сетевая активность

TCP

Запросы HTTP GET

'wh#####yipaddress.com':443

UDP

Другое

Создает и запускает на исполнение

Запускает на исполнение

'%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\holdermail.txt"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\holderwb.txt"
'%WINDIR%\microsoft.net\framework\v2.0.50727\dw20.exe' -x -s 1492