Trojan.Siggen9.64073

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'Win32 SystemNetwork Application' = '%PROGRAMDATA%\SystemNetwork\nCoreManager.exe'
[<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'Win32 SystemNetwork Application' = '%PROGRAMDATA%\SystemNetwork\nCoreManager.exe'
[<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Win32 SystemNetwork Application' = '%PROGRAMDATA%\SystemNetwork\nCoreManager.exe'

Вредоносные функции

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: 'OLLYDBG', WindowName: ''
ClassName: 'GBDYLLO', WindowName: ''
ClassName: 'pediy06', WindowName: ''
ClassName: 'FilemonClass', WindowName: ''
ClassName: '', WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
ClassName: '', WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'RegmonClass', WindowName: ''
ClassName: '', WindowName: 'Registry Monitor - Sysinternals: www.sysinternals.com'

Изменения в файловой системе

Создает следующие файлы

%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
%PROGRAMDATA%\intelcore\config.json
%PROGRAMDATA%\systemnetwork\video.txt
%PROGRAMDATA%\systemnetwork\arch.txt
%PROGRAMDATA%\systemnetwork\ncoremanager.exe
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\index.dat
%APPDATA%\microsoft\windows\cookies\low\index.dat
%PROGRAMDATA%\intelcore\applicationsframehost.exe
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\3jiagiva\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\lqr0k54b\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\1hsiu9ni\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\index.dat
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\6q4j7m7u\desktop.ini
%PROGRAMDATA%\commonsfiles\cpu_arch.txt

Присваивает атрибут 'скрытый' для следующих файлов

%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\1hsiu9ni\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\lqr0k54b\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\6q4j7m7u\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\3jiagiva\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\desktop.ini
%PROGRAMDATA%\commonsfiles\cpu_arch.txt

Самоудаляется.

Сетевая активность

TCP

Запросы HTTP GET

http://vm#####98.kvm.had.yt/zzztop/nCoreManager.exe
http://vm#####98.kvm.had.yt/zzztop/x64/config.json
http://vm#####98.kvm.had.yt/zzztop/x64/ApplicationsFrameHost.exe

UDP

DNS ASK vm#####98.kvm.had.yt

Другое

Ищет следующие окна

ClassName: '18467-41' WindowName: ''

Создает и запускает на исполнение

'%PROGRAMDATA%\systemnetwork\ncoremanager.exe'
'%PROGRAMDATA%\intelcore\applicationsframehost.exe'
'%WINDIR%\syswow64\cmd.exe' /k ping -n 5 localhost < nul & del /F /Q "<Полный путь к файлу>"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c WMIC OS get osarchitecture >%PROGRAMDATA%\SystemNetwork\arch.txt' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c wmic path win32_VideoController get name >%PROGRAMDATA%\SystemNetwork\video.txt' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c icacls %PROGRAMDATA%\SystemNetwork /deny "%username%:(R,REA,RA)"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c icacls %PROGRAMDATA%\SystemNetwork /deny "Users:(R,REA,RA)"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c icacls %PROGRAMDATA%\SystemNetwork /deny "Administrators:(R,REA,RA))"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c icacls %PROGRAMDATA%\IntelCore /deny "%username%:(R,REA,RA)"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c icacls %PROGRAMDATA%\IntelCore /deny "Users:(R,REA,RA)"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c icacls %PROGRAMDATA%\IntelCore /deny "Administrators:(R,REA,RA))"' (со скрытым окном)
'%PROGRAMDATA%\intelcore\applicationsframehost.exe' ' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\rundll32.exe' "%WINDIR%\syswow64\WININET.dll",DispatchAPICall 1
'%WINDIR%\syswow64\icacls.exe' %PROGRAMDATA%\IntelCore /deny "user:(R,REA,RA)"
'%WINDIR%\syswow64\cmd.exe' /c icacls %PROGRAMDATA%\IntelCore /deny "Administrators:(R,REA,RA))"
'%WINDIR%\syswow64\cmd.exe' /c icacls %PROGRAMDATA%\IntelCore /deny "Users:(R,REA,RA)"
'%WINDIR%\syswow64\cmd.exe' /c icacls %PROGRAMDATA%\IntelCore /deny "%username%:(R,REA,RA)"
'%WINDIR%\syswow64\icacls.exe' %PROGRAMDATA%\SystemNetwork /deny "Users:(R,REA,RA)"
'%WINDIR%\syswow64\icacls.exe' %PROGRAMDATA%\SystemNetwork /deny "Administrators:(R,REA,RA))"
'%WINDIR%\syswow64\icacls.exe' %PROGRAMDATA%\SystemNetwork /deny "user:(R,REA,RA)"
'%WINDIR%\syswow64\icacls.exe' %PROGRAMDATA%\IntelCore /deny "Administrators:(R,REA,RA))"
'%WINDIR%\syswow64\cmd.exe' /c icacls %PROGRAMDATA%\SystemNetwork /deny "Administrators:(R,REA,RA))"
'%WINDIR%\syswow64\cmd.exe' /c icacls %PROGRAMDATA%\SystemNetwork /deny "%username%:(R,REA,RA)"
'%WINDIR%\syswow64\wbem\wmic.exe' path win32_VideoController get name
'%WINDIR%\syswow64\cmd.exe' /c wmic path win32_VideoController get name >%PROGRAMDATA%\SystemNetwork\video.txt
'%WINDIR%\syswow64\wbem\wmic.exe' OS get osarchitecture
'%WINDIR%\syswow64\cmd.exe' /c WMIC OS get osarchitecture >%PROGRAMDATA%\SystemNetwork\arch.txt
'%WINDIR%\syswow64\ping.exe' -n 5 localhost
'%WINDIR%\syswow64\cmd.exe' /k ping -n 5 localhost < nul & del /F /Q "<Полный путь к файлу>"
'%WINDIR%\syswow64\cmd.exe' /c icacls %PROGRAMDATA%\SystemNetwork /deny "Users:(R,REA,RA)"
'%WINDIR%\syswow64\icacls.exe' %PROGRAMDATA%\IntelCore /deny "Users:(R,REA,RA)"