Trojan.Siggen10.30794

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[<HKLM>\System\CurrentControlSet\Services\hhdspmc64] 'ImagePath' = 'system32\DRIVERS\hhdspmc64.sys'
[<HKLM>\System\CurrentControlSet\Services\SPSniff] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\SPSniff] 'ImagePath' = '<Текущая директория>\SPSniff64.sys'

Создает следующие сервисы

'hhdspmc64' system32\DRIVERS\hhdspmc64.sys
'SPSniff' <Текущая директория>\SPSniff64.sys

Вредоносные функции

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: 'FileMonClass', WindowName: ''
ClassName: 'RegMonClass', WindowName: ''
ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''

Изменения в файловой системе

Создает следующие файлы

<Текущая директория>\quick2011.exe
<Текущая директория>\spminstall.exe
<Текущая директория>\mqttlib.dll
<Текущая директория>\interop.spsnifferlib.dll
<Текущая директория>\spsniff.sys
<Текущая директория>\spsniff64.sys
<Текущая директория>\spsniffer.dll
<Текущая директория>\spssetup.exe
%WINDIR%\temp\udd28a6.tmp
%ALLUSERSPROFILE%\licenses\0c8a3e0b2d7727924.lic
C:\callcid\kpd_api.dat
%ALLUSERSPROFILE%\logs\c8a3e0b2.license.log
C:\callcid\axinterop.ktpcbizlib.dll
C:\callcid\btcrypt.dll
C:\callcid\bytosntp.dll
C:\callcid\callsub.exe
C:\callcid\callsub.ver
C:\callcid\interop.ktpcbizlib.dll
C:\callcid\kpa_api.dat
%WINDIR%\temp\udd128.tmp
%ALLUSERSPROFILE%\temp\raidtest
<SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\hhdspmc_x64.cat
%TEMP%\difxapi64.dll
<Текущая директория>\ldllv12.dat
<Текущая директория>\interop.hhdspmclib.dll
<Текущая директория>\leadcalls2.dll
<Текущая директория>\leadcalls3.dll
<Текущая директория>\axinterop.spsnifferlib.dll
<Текущая директория>\hhdspmc.dll
<Текущая директория>\interop.hhdspmclic.dll
<Текущая директория>\hinstall.exe
%TEMP%\setup_x64.exe
<SYSTEM32>\drvstore\hhdspmc_81a310b98045b462ba1344496b2ff0c8ef241a35\hhdspmc64.sys
%ProgramFiles%\hhd software\spmc_redist\drivers\hhdspmc.inf
%ProgramFiles%\hhd software\spmc_redist\drivers\hhdspmc64.sys
%ProgramFiles%\hhd software\spmc_redist\drivers\hhdspmc_x64.cat
%ProgramFiles%\hhd software\spmc_redist\drivers\old_cat\hhdspmc_x64.cat
%ProgramFiles%\hhd software\spmc_redist\x64\hhdspmc.dll
%ProgramFiles%\hhd software\spmc_redist\x86\hhdspmc.dll
<SYSTEM32>\drvstore\hhdspmc_81a310b98045b462ba1344496b2ff0c8ef241a35\hhdspmc.inf
<SYSTEM32>\drvstore\hhdspmc_81a310b98045b462ba1344496b2ff0c8ef241a35\hhdspmc_x64.cat
<DRIVERS>\setfcd5.tmp
C:\callcid\ktopenapi.dll

Присваивает атрибут 'скрытый' для следующих файлов

<SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\hhdspmc_x64.cat

Удаляет следующие файлы

%ProgramFiles%\hhd software\spmc_redist\drivers\old_cat\hhdspmc_x64.cat
%TEMP%\setup_x64.exe
%TEMP%\difxapi64.dll
<Текущая директория>\hinstall.exe
%WINDIR%\temp\udd128.tmp
%WINDIR%\temp\udd28a6.tmp
<Текущая директория>\spminstall.exe

Перемещает следующие файлы

<DRIVERS>\setfcd5.tmp в <DRIVERS>\hhdspmc64.sys
<Текущая директория>\ldllv12.dat в <Текущая директория>\환경설정\ldllv12.dat

Сетевая активность

TCP

Запросы HTTP GET

http://up####.leadcall.kr/update/run/updatex.asp?mo##################################################################################
http://hb##.com/update/download/KPA_API.dat
http://hb##.com/update/download/Interop.KTPCBizLib.dll
http://hb##.com/update/download/CallSub.ver
http://hb##.com/update/download/CallSub.exe
http://hb##.com/update/download/BytoSNTP.dll
http://hb##.com/update/download/BTCrypt.dll
http://hb##.com/update/download/AxInterop.KTPCBizLib.dll
http://up####.leadcall.kr/update/download/MqttLib.dll
http://up####.leadcall.kr/update/download/serial/SpmInstall.exe
http://up####.leadcall.kr/update/download/serial/hinstall3.exe
http://up####.leadcall.kr/update/download/serial/interop.hhdspmcLic3.dll
http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt
http://up####.leadcall.kr/update/download/serial/hhdspmc3.dll
http://up####.leadcall.kr/update/download/serial/AxInterop.spsnifferLib.dll
http://up####.leadcall.kr/update/download/serial/leadcalls3_12.dll
http://up####.leadcall.kr/update/download/serial/leadcalls2_12.dll
http://up####.leadcall.kr/update/download/serial/interop.hhdspmcLib3.dll
http://up####.leadcall.kr/update/download/serial/leadcalls2.dll
http://up####.leadcall.kr/update/Quick2011/Quick2011_S_2555.exe
http://hb##.com/update/download/KPD_API.dat
http://hb##.com/update/download/KTOpenAPI.dll

UDP

DNS ASK up####.leadcall.kr
DNS ASK microsoft.com
DNS ASK hb##.com

Другое

Ищет следующие окна

ClassName: 'EDIT' WindowName: ''

Создает и запускает на исполнение

'<Текущая директория>\quick2011.exe'
'<Текущая директория>\hinstall.exe' /q
'%TEMP%\setup_x64.exe' 116
'<Текущая директория>\spminstall.exe' -p298efhfowh28298dg
'<Текущая директория>\spssetup.exe'

Запускает на исполнение

'<SYSTEM32>\regsvr32.exe' /s ..\x86\hhdspmc.dll
'%WINDIR%\syswow64\regsvr32.exe' spsniffer.dll /s /i:"LEAD CALL#0000XZ-95Z8UP-E3EU91-TF9UPH-40635F-B4M55Y-0611F5-74822F-580BAD-22EFC8-8C7DE2-E3181D"