Trojan.Siggen10.1084

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[<HKLM>\System\CurrentControlSet\Services\EasiUpdate] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\EasiUpdate] 'ImagePath' = '"%PROGRAMDATA%\Seewo\Easiupdate\easiupdate\EasiUpdate.exe"'

Создает следующие сервисы

'EasiUpdate' "%PROGRAMDATA%\Seewo\Easiupdate\easiupdate\EasiUpdate.exe"
'EasiUpdate' %PROGRAMDATA%\Seewo\Easiupdate\easiupdate\EasiUpdate.exe

Вредоносные функции

Запускает на исполнение

'%WINDIR%\syswow64\net.exe' stop EasiUpdate
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name = "EasiUpdate" dir=in program = "%PROGRAMDATA%\Seewo\Easiupdate\easiupdate\EasiUpdate.exe" action=allow
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="EasiUpdate-39171" dir=in action=allow protocol=TCP localport=39171
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="EasiUpdate-39171" dir=in action=allow protocol=UDP localport=39171
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="EasiUpdate-39172" dir=in action=allow protocol=TCP localport=39172
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="EasiUpdate-39172" dir=in action=allow protocol=UDP localport=39172

Изменения в файловой системе

Создает следующие файлы

%TEMP%\nsw2fd.tmp
%PROGRAMDATA%\seewo\easiupdate\easiupdate\logs\easiupdate-server_debug.log
%PROGRAMDATA%\seewo\easiupdate\easiupdate\logs\easiupdate-server_info.log
%TEMP%\nsr427.tmp\nsexec.dll
%PROGRAMDATA%\seewo\easiupdate\uninstall.exe
%PROGRAMDATA%\seewo\easiupdate\easiupdate\nginxdownload\index.html
%PROGRAMDATA%\seewo\easiupdate\easiupdate\nginxdownload\50x.html
%PROGRAMDATA%\seewo\easiupdate\easiupdate\ssleay32.dll
%PROGRAMDATA%\seewo\easiupdate\easiupdate\run.bat
%PROGRAMDATA%\seewo\easiupdate\easiupdate\openldap.dll
%PROGRAMDATA%\seewo\easiupdate\easiupdate\msvcr71.dll
%PROGRAMDATA%\seewo\easiupdate\easiupdate\msvcr120.dll
%PROGRAMDATA%\seewo\easiupdate\easiupdate\msvcr100.dll
%PROGRAMDATA%\seewo\easiupdate\easiupdate\msvcp120.dll
%PROGRAMDATA%\seewo\easiupdate\easiupdate\libsasl.dll
%PROGRAMDATA%\seewo\easiupdate\easiupdate\libglog.dll
%PROGRAMDATA%\seewo\easiupdate\easiupdate\libeay32.dll
%PROGRAMDATA%\seewo\easiupdate\easiupdate\libcurl.dll
%PROGRAMDATA%\seewo\easiupdate\easiupdate\useranalyticsmanager.dll
%PROGRAMDATA%\seewo\easiupdate\easiupdate\easiupdate.ini
%PROGRAMDATA%\seewo\easiupdate\easiupdate\easiupdate.exe
%PROGRAMDATA%\seewo\easiupdate\easi_update_uninstall.bat
%PROGRAMDATA%\seewo\easiupdate\easi_update_install.bat
%TEMP%\nsr427.tmp\execdos.dll
%TEMP%\nsr427.tmp\system.dll
C:\install.log
%PROGRAMDATA%\seewo\easiupdate\easiupdate\configmac\d95d883b-f91d-4ce5-a5c5-d08bb6a85dec.ini.bak
%PROGRAMDATA%\seewo\easiupdate\easiupdate\configdirectory\08fd9aff59d7c70bc903a4ba7ca11ef467ca19d3.ini.bak

Удаляет следующие файлы

%PROGRAMDATA%\seewo\easiupdate\easiupdate\configdirectory\08fd9aff59d7c70bc903a4ba7ca11ef467ca19d3.ini

Перемещает следующие файлы

%PROGRAMDATA%\seewo\easiupdate\easiupdate\configmac\d95d883b-f91d-4ce5-a5c5-d08bb6a85dec.ini.bak в %PROGRAMDATA%\seewo\easiupdate\easiupdate\configmac\d95d883b-f91d-4ce5-a5c5-d08bb6a85dec.ini
%PROGRAMDATA%\seewo\easiupdate\easiupdate\configdirectory\08fd9aff59d7c70bc903a4ba7ca11ef467ca19d3.ini.bak в %PROGRAMDATA%\seewo\easiupdate\easiupdate\configdirectory\08fd9aff59d7c70bc903a4ba7ca11ef467ca19d3.ini

Подменяет следующие файлы

%PROGRAMDATA%\seewo\easiupdate\easiupdate\configdirectory\08fd9aff59d7c70bc903a4ba7ca11ef467ca19d3.ini.bak
%PROGRAMDATA%\seewo\easiupdate\easiupdate\configdirectory\08fd9aff59d7c70bc903a4ba7ca11ef467ca19d3.ini

Сетевая активность

TCP

Запросы HTTP GET

http://my##.cvte.com/api/v1/onlineconfig?ap#################################################################################
http://st###c.cvte.com/file/myou/uploads/static_files/08fd9aff59d7c70bc903a4ba7ca11ef467ca19d3/config-eaf33728aa.json
http://my##.cvte.com/api/v1/update?ap####################################################################################################################

'localhost':49179

'localhost':49181

'localhost':49185

UDP

DNS ASK my##.cvte.com
DNS ASK st###c.cvte.com

Другое

Ищет следующие окна

ClassName: '#32770' WindowName: ''
ClassName: 'SysListView32' WindowName: ''

Создает и запускает на исполнение

'%PROGRAMDATA%\seewo\easiupdate\easiupdate\easiupdate.exe' -run
'%PROGRAMDATA%\seewo\easiupdate\easiupdate\easiupdate.exe'
'%WINDIR%\syswow64\cmd.exe' /c %PROGRAMDATA%\Seewo\Easiupdate\easi_update_install.bat' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c %PROGRAMDATA%\Seewo\Easiupdate\easi_update_install.bat
'%WINDIR%\syswow64\net1.exe' stop EasiUpdate
'%WINDIR%\syswow64\sc.exe' delete EasiUpdate
'%WINDIR%\syswow64\cmd.exe' /S /D /c" ECHO Y"
'%WINDIR%\syswow64\cacls.exe' "%PROGRAMDATA%\Seewo\Easiupdate\.." /C /P everyone:F /T
'%WINDIR%\syswow64\cacls.exe' "%APPDATA%"\EasiUpdate /C /P everyone:F /T
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall delete rule name="EasiUpdate"
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall delete rule name="EasiUpdate-39171"
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall delete rule name="EasiUpdate-39172"
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall delete rule name="easiupdate-nginx-9090"
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall delete rule name = "easiupdate-nginx"
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall delete rule name = "easiupdate-nginx-nssm"
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall delete rule name = "EasiUpdate-MiniThunderPlatform"