Exploit.Siggen3.36617

Technical Information

Malicious functions

Creates and executes the following

'' (downloaded from the Internet)

Creates and executes the following (exploit)

'%APPDATA%\obiok8581.exe'

Injects code into

the following system processes:

%WINDIR%\explorer.exe

Modifies file system

Creates the following files

%APPDATA%\obiok8581.exe
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
%LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol

Network activity

Connects to

'20#.#7.105.179':80
'my#####sideresortqb.com':80
'sq##te.org':80
'th####etalian.com':80
'ta#####dframed.co.uk':80
'ni###design.com':80
'sl####ouncil.co.uk':80
'sa####asfoor.com':80
'mc##cks.pro':80
'bl###flip.app':80
'ex####ebean.co.uk':80
'co###geecho.com':80
'ag####keratine.com':80
'di###alshui.com':80
'mo###guqin.info':80

TCP

HTTP GET requests

http://20#.#7.105.179/obizx.exe
http://www.my#####sideresortqb.com/nytc/?oN########################################################################################################################
http://www.sq##te.org/2014/sqlite-dll-win32-x86-3080700.zip
http://www.th####etalian.com/nytc/?oN########################################################################################################################
http://www.ta#####dframed.co.uk/nytc/?oN########################################################################################################################
http://www.ni###design.com/nytc/?oN########################################################################################################################
http://www.sl####ouncil.co.uk/nytc/?oN########################################################################################################################
http://www.sa####asfoor.com/nytc/?oN########################################################################################################################
http://www.mc##cks.pro/nytc/?oN########################################################################################################################
http://www.bl###flip.app/nytc/?oN########################################################################################################################
http://www.ex####ebean.co.uk/nytc/?oN########################################################################################################################
http://www.pr####league.com/nytc/?oN########################################################################################################################
http://www.co###geecho.com/nytc/?oN########################################################################################################################
http://www.ag####keratine.com/nytc/?oN########################################################################################################################
http://www.di###alshui.com/nytc/?oN########################################################################################################################
http://www.mo###guqin.info/nytc/?oN########################################################################################################################