Trojan.Siggen9.35776

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'klqdn' = '%APPDATA%\frvuavws\vjvvievc.exe�'

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует запуск следующих системных утилит:

Обновления системы (Windows Update)

Запускает на исполнение

'%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="blockport 2900" dir=out action=block protocol=TCP remoteport=2900
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="blockport 6600" dir=out action=block protocol=TCP remoteport=6600
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="blockport 4400" dir=out action=block protocol=TCP remoteport=4400
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="blockport 1100" dir=out action=block protocol=TCP remoteport=1100
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="blockport 3300" dir=out action=block protocol=TCP remoteport=3300
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="blockport 9900" dir=out action=block protocol=TCP remoteport=9900
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="blockport 8800" dir=out action=block protocol=TCP remoteport=8800
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="blockport 7700" dir=out action=block protocol=TCP remoteport=7700
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="blockport 2200" dir=out action=block protocol=TCP remoteport=2200
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="blockport 5500" dir=out action=block protocol=TCP remoteport=5500

Внедряет код в

следующие системные процессы:

%WINDIR%\syswow64\notepad.exe

следующие пользовательские процессы:

vjvvievc.exe

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\frvuavws\vjvvievc.exe
%TEMP%\dd.te

Сетевая активность

UDP

DNS ASK xa##pqr.com

Другое

Создает и запускает на исполнение

'%APPDATA%\frvuavws\vjvvievc.exe'
'%APPDATA%\frvuavws\vjvvievc.exe' wusaupdate
'<Полный путь к файлу>' ' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /C netsh advfirewall firewall add rule name="blockport 7700" dir=out action=block protocol=TCP remoteport=7700' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /C netsh advfirewall firewall add rule name="blockport 6600" dir=out action=block protocol=TCP remoteport=6600' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /C netsh advfirewall firewall add rule name="blockport 5500" dir=out action=block protocol=TCP remoteport=5500' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /C netsh advfirewall firewall add rule name="blockport 4400" dir=out action=block protocol=TCP remoteport=4400' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /C netsh advfirewall firewall add rule name="blockport 3300" dir=out action=block protocol=TCP remoteport=3300' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /C netsh advfirewall firewall add rule name="blockport 2200" dir=out action=block protocol=TCP remoteport=2200' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /C netsh advfirewall firewall add rule name="blockport 1100" dir=out action=block protocol=TCP remoteport=1100' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /C Reg add "HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender" /v DisableAntiSpyware /t REG_DWORD /d 1 /f' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /C netsh advfirewall firewall add rule name="blockport 8800" dir=out action=block protocol=TCP remoteport=8800' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /C sc config wuauserv start= disabled' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /C sc stop wuauserv' (со скрытым окном)
'%APPDATA%\frvuavws\vjvvievc.exe' wusaupdate' (со скрытым окном)
'%WINDIR%\syswow64\notepad.exe' ' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' ' (со скрытым окном)
'%APPDATA%\frvuavws\vjvvievc.exe' ' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /C netsh advfirewall firewall add rule name="blockport 2900" dir=out action=block protocol=TCP remoteport=2900' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /C netsh advfirewall firewall add rule name="blockport 9900" dir=out action=block protocol=TCP remoteport=9900' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe'
'%WINDIR%\syswow64\reg.exe' add "HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender" /v DisableAntiSpyware /t REG_DWORD /d 1 /f
'%WINDIR%\syswow64\cmd.exe' /C netsh advfirewall firewall add rule name="blockport 9900" dir=out action=block protocol=TCP remoteport=9900
'%WINDIR%\syswow64\cmd.exe' /C netsh advfirewall firewall add rule name="blockport 8800" dir=out action=block protocol=TCP remoteport=8800
'%WINDIR%\syswow64\cmd.exe' /C netsh advfirewall firewall add rule name="blockport 7700" dir=out action=block protocol=TCP remoteport=7700
'%WINDIR%\syswow64\cmd.exe' /C netsh advfirewall firewall add rule name="blockport 6600" dir=out action=block protocol=TCP remoteport=6600
'%WINDIR%\syswow64\cmd.exe' /C netsh advfirewall firewall add rule name="blockport 5500" dir=out action=block protocol=TCP remoteport=5500
'%WINDIR%\syswow64\cmd.exe' /C netsh advfirewall firewall add rule name="blockport 4400" dir=out action=block protocol=TCP remoteport=4400
'%WINDIR%\syswow64\cmd.exe' /C netsh advfirewall firewall add rule name="blockport 3300" dir=out action=block protocol=TCP remoteport=3300
'%WINDIR%\syswow64\cmd.exe' /C netsh advfirewall firewall add rule name="blockport 2200" dir=out action=block protocol=TCP remoteport=2200
'%WINDIR%\syswow64\cmd.exe' /C netsh advfirewall firewall add rule name="blockport 1100" dir=out action=block protocol=TCP remoteport=1100
'%WINDIR%\syswow64\cmd.exe' /C netsh advfirewall firewall add rule name="blockport 2900" dir=out action=block protocol=TCP remoteport=2900
'%WINDIR%\syswow64\cmd.exe' /C Reg add "HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender" /v DisableAntiSpyware /t REG_DWORD /d 1 /f
'%WINDIR%\syswow64\cmd.exe' /C sc config wuauserv start= disabled
'%WINDIR%\syswow64\cmd.exe' /C sc stop wuauserv
'%WINDIR%\syswow64\notepad.exe'
'%WINDIR%\syswow64\sc.exe' config wuauserv start= disabled
'%WINDIR%\syswow64\sc.exe' stop wuauserv