Trojan.Siggen9.10796

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run\] 'imp' = '%PROGRAMDATA%\imp.exe'

Вредоносные функции

Внедряет код в

следующие системные процессы:

%WINDIR%\syswow64\cmd.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\7zipsfx.000\2020tryol.exe
%TEMP%\antdkozh.dll
%TEMP%\res286a.tmp
%TEMP%\csc285a.tmp
%TEMP%\antdkozh.out
%TEMP%\antdkozh.cmdline
%TEMP%\antdkozh.0.cs
%TEMP%\rarsfx0\versobfu.png
%TEMP%\rarsfx0\testercopy.ps1
%TEMP%\rarsfx0\testercopy.bat
%TEMP%\rarsfx0\scripttest.ps1
%TEMP%\rarsfx0\scripttest.bat
%TEMP%\rarsfx0\sampler.jpg
%TEMP%\rarsfx0\bypwin.vbs
%TEMP%\rarsfx0\batsil.vbs
%TEMP%\rarsfx0\batosil.vbs
%TEMP%\57yhyh.exe
%PROGRAMDATA%\imp.exe

Удаляет следующие файлы

%TEMP%\res286a.tmp
%TEMP%\csc285a.tmp
%TEMP%\antdkozh.0.cs
%TEMP%\antdkozh.pdb
%TEMP%\antdkozh.cmdline
%TEMP%\antdkozh.out
%TEMP%\antdkozh.dll
%TEMP%\7zipsfx.000\2020tryol.exe

Перемещает следующие файлы

%TEMP%\rarsfx0\versobfu.png в %TEMP%\rarsfx0\versobfu.vbs

Сетевая активность

Подключается к

'tu#######iva-22017.portmap.io':22017

UDP

DNS ASK tu#######iva-22017.portmap.io

Другое

Ищет следующие окна

ClassName: 'EDIT' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\7zipsfx.000\2020tryol.exe' -s1 -pmankin22
'<SYSTEM32>\wscript.exe' "%TEMP%\RarSFX0\batsil.vbs"
'%TEMP%\57yhyh.exe'
'<SYSTEM32>\wscript.exe' "%TEMP%\RarSFX0\bypwin.vbs"
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass -Command "& '%TEMP%\RarSFX0\testerCopy.ps1'"
'<SYSTEM32>\wscript.exe' "%TEMP%\RarSFX0\bypwin.vbs" /elevate
'<SYSTEM32>\wscript.exe' "%TEMP%\RarSFX0\versobfu.vbs"
'%PROGRAMDATA%\imp.exe'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -NoProfile -ExecutionPolicy Bypass -Command "Start-Process PowerShell -ArgumentList '-ExecutionPolicy Unrestricted','-File %TEMP%\RarSFX0\scripttest.ps1' -Verb RunAs -Window...
'<SYSTEM32>\wscript.exe' "%TEMP%\RarSFX0\batosil.vbs"
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Unrestricted -File %TEMP%\RarSFX0\scripttest.ps1
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -SubmitSamplesConsent 2' (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -SevereThreatDefaultAction 6' (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -LowThreatDefaultAction 6' (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableIOAVProtection $true' (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -HighThreatDefaultAction 6 -Force' (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -MAPSReporting 0' (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -ModerateThreatDefaultAction 6' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES286A.tmp" "%TEMP%\CSC285A.tmp"' (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableBehaviorMonitoring $true' (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableRealtimeMonitoring $true' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\RarSFX0\scripttest.bat" "' (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableScriptScanning $true' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\antdkozh.cmdline"' (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Unrestricted -File %TEMP%\RarSFX0\scripttest.ps1' (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableBlockAtFirstSeen $true' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\RarSFX0\testerCopy.bat" "' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c ""%TEMP%\RarSFX0\scripttest.bat" "
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\RarSFX0\testerCopy.bat" "
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\antdkozh.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES286A.tmp" "%TEMP%\CSC285A.tmp"
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableRealtimeMonitoring $true
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableBehaviorMonitoring $true
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableBlockAtFirstSeen $true
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableIOAVProtection $true
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableScriptScanning $true
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -SubmitSamplesConsent 2
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -MAPSReporting 0
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -HighThreatDefaultAction 6 -Force
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -ModerateThreatDefaultAction 6
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -LowThreatDefaultAction 6
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -SevereThreatDefaultAction 6
'%WINDIR%\syswow64\cmd.exe'