Trojan.Siggen9.7812

Техническая информация

Для обеспечения автозапуска и распространения

Создает следующие сервисы

[<HKLM>\System\CurrentControlSet\Services\ldyaavxb] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\ldyaavxb] 'ImagePath' = '%WINDIR%\SysWOW64\ldyaavxb\yatelthx.exe /d"<Полный путь к файлу>"'
[<HKLM>\SYSTEM\CurrentControlSet\services\ldyaavxb] 'ImagePath' = '%WINDIR%\SysWOW64\ldyaavxb\yatelthx.exe'

Вредоносные функции

Для затруднения выявления своего присутствия в системе

добавляет исключения антивируса с помощью следующих ключей реестра::

[<HKLM>\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths] '%WINDIR%\SysWOW64\ldyaavxb' = '00000000'

Запускает на исполнение

'%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="Host-process for services of Windows" dir=in action=allow program="%WINDIR%\SysWOW64\svchost.exe" enable=yes>nul

Внедряет код в

следующие системные процессы:

%WINDIR%\syswow64\svchost.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\yatelthx.exe
%WINDIR%\syswow64\config\systemprofile:.repos

Перемещает следующие файлы

%TEMP%\yatelthx.exe в %WINDIR%\syswow64\ldyaavxb\yatelthx.exe

Самоудаляется.

Сетевая активность

TCP

Запросы HTTP GET

http://www.google.com/

'43.#31.4.7':443

're#####.kiev.sovam.com':25

'mx#.#nfracom.nl':25

'mx#.mail.ru':25

'mx.###eprotect.com':25

'sm#####.#obiernodecanarias.org':25

'alt2.aspmx.l.google.com':25

'mx####.##il.gm0.yahoodns.net':25

'aspmx.l.google.com':25

'mx#.##gertech.net':25

'ma##.cfcloud.fr':25

'mx#.##avis99.com':25

'w0#####3.kasserver.com':25

'ho#########.olc.protection.outlook.com':25

'sm###n.rzone.de':25

'mx.##rodok.net':25

'ma##.fagms.de':25

'mt##.##0.yahoodns.net':25

'go###e.com.br':443

'10#.#36.38.82':443

'46.#8.66.2':427

'93.##9.69.109':427

'46.#.52.109':427

'17#.#.114.177':427

'78.#1.67.23':427

'18#.#65.238.150':427

'mi####.bittubeapp.com':13333

'85.##4.134.88':483

'in########ster2.cloudplatform1.com':25

'mx#.#llpet.it':25

UDP

DNS ASK mi##########m.mail.protection.outlook.com
DNS ASK go#####odecanarias.org
DNS ASK aspmx.l.google.com
DNS ASK bi###ndyisd.org
DNS ASK mx####.##il.gm0.yahoodns.net
DNS ASK ve##zon.net
DNS ASK alt2.aspmx.l.google.com
DNS ASK ra####central.org
DNS ASK ol###nedin.org
DNS ASK sm#####.#obiernodecanarias.org
DNS ASK ma##.cfcloud.fr
DNS ASK mx#.##gertech.net
DNS ASK nc##.org
DNS ASK mx#.##avis99.com
DNS ASK pi###ail.com
DNS ASK ma##.#obinson.de
DNS ASK ro##nson.de
DNS ASK sm##.##cureserver.net
DNS ASK ym##l.org
DNS ASK ve##m.org
DNS ASK ye##.net
DNS ASK ye######.mxmail.netease.com
DNS ASK mc###teg.com
DNS ASK mx#.#llpet.it
DNS ASK al##et.it
DNS ASK in########ster2.cloudplatform1.com
DNS ASK ma###rd.co.uk
DNS ASK re#####.kiev.sovam.com
DNS ASK sv###nline.com
DNS ASK mx.##linone.it
DNS ASK al##none.it
DNS ASK dc######.emirates.net.ae
DNS ASK ei#.ae
DNS ASK mx#.#nfracom.nl
DNS ASK zo###oncept.org
DNS ASK mx#.mail.ru
DNS ASK ma#l.ru
DNS ASK we###anlaw.com
DNS ASK ba######a.uticaschools.org
DNS ASK ut####chools.org
DNS ASK mx.###eprotect.com
DNS ASK mc#####ckassociates.com
DNS ASK sm####n.orange.fr
DNS ASK ma##orm.net
DNS ASK wa##doo.fr
DNS ASK ra###walt.de
DNS ASK kt#.com
DNS ASK go###e.com.br
DNS ASK google.com
DNS ASK mi####.bittubeapp.com
DNS ASK um####.hinet.net
DNS ASK 19#.###.#11.95.cbl.abuseat.org
DNS ASK um###.hinet.net
DNS ASK mx#######501.gslb.pphosted.com
DNS ASK ma##.ktf.com
DNS ASK 19#.###.##1.95.sbl-xbl.spamhaus.org
DNS ASK mx#######603.gslb.pphosted.com
DNS ASK 19#.###.#11.95.zen.spamhaus.org
DNS ASK mc###sey.com
DNS ASK 19#.###.#11.95.bl.spamcop.net
DNS ASK mt##.##0.yahoodns.net
DNS ASK 19#.###.#11.95.dnsbl.sorbs.net
DNS ASK ya##o.com
DNS ASK 19#.###.211.95.in-addr.arpa
DNS ASK ma####salliance.com
DNS ASK go##dok.net
DNS ASK mx.##rodok.net
DNS ASK no##sol.de
DNS ASK ho#########.olc.protection.outlook.com
DNS ASK ho##ail.com
DNS ASK ms#####p-mx2.hinet.net
DNS ASK ms##.hinet.net
DNS ASK sm###n.rzone.de
DNS ASK pa##-rae.de
DNS ASK pa###iprodm.de
DNS ASK ma####us2.dir.dk
DNS ASK ma#####broadcast.com
DNS ASK mx####.tecno24.de
DNS ASK pa###online.de
DNS ASK ma####sartframe.com
DNS ASK ms#####p-mx1.hinet.net
DNS ASK ms#.#inet.net
DNS ASK ma##.fagms.de
DNS ASK dr####aire.fagms.de
DNS ASK mx#.#harter.net
DNS ASK ch##ter.net
DNS ASK mx#######401.gslb.pphosted.com
DNS ASK w0#####3.kasserver.com
DNS ASK ma#####t.matform.net

Другое

Создает и запускает на исполнение

'%WINDIR%\syswow64\ldyaavxb\yatelthx.exe' /d"<Полный путь к файлу>"
'%WINDIR%\syswow64\cmd.exe' /C mkdir %WINDIR%\SysWOW64\ldyaavxb\' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /C move /Y "%TEMP%\yatelthx.exe" %WINDIR%\SysWOW64\ldyaavxb\' (со скрытым окном)
'%WINDIR%\syswow64\sc.exe' create ldyaavxb binPath= "%WINDIR%\SysWOW64\ldyaavxb\yatelthx.exe /d\"<Полный путь к файлу>\"" type= own start= auto DisplayName= "wifi support"' (со скрытым окном)
'%WINDIR%\syswow64\sc.exe' description ldyaavxb "wifi internet conection"' (со скрытым окном)
'%WINDIR%\syswow64\sc.exe' start ldyaavxb' (со скрытым окном)
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="Host-process for services of Windows" dir=in action=allow program="%WINDIR%\SysWOW64\svchost.exe" enable=yes>nul' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /C mkdir %WINDIR%\SysWOW64\ldyaavxb\
'%WINDIR%\syswow64\cmd.exe' /C move /Y "%TEMP%\yatelthx.exe" %WINDIR%\SysWOW64\ldyaavxb\
'%WINDIR%\syswow64\sc.exe' create ldyaavxb binPath= "%WINDIR%\SysWOW64\ldyaavxb\yatelthx.exe /d\"<Полный путь к файлу>\"" type= own start= auto DisplayName= "wifi support"
'%WINDIR%\syswow64\sc.exe' description ldyaavxb "wifi internet conection"
'%WINDIR%\syswow64\sc.exe' start ldyaavxb
'%WINDIR%\syswow64\svchost.exe'
'%WINDIR%\syswow64\svchost.exe' --algo=cn-heavy/tube -o mining.bittubeapp.com:13333 -u bs4msiPiHNGTd5uzvZ9AGM1tjQoTiEX9BXopJg5er3ebEQ8a8mcwkjP5jNwst8rmVSRuogLs18DAVQzV76oHkVBk27idvmtUp.60000 -p x -k