Trojan.Siggen10.31875

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Windows Defender' = '%ALLUSERSPROFILE%\Windows\Windows Defender.exe'

Вредоносные функции

Завершает или пытается завершить

следующие системные процессы:

<SYSTEM32>\cmd.exe

Изменения в файловой системе

Создает следующие файлы

%HOMEPATH%\desktop\rnkbou.exe
%TEMP%\_ir_sf_temp_0\irimg121.png
%TEMP%\_ir_sf_temp_0\200.ico
%TEMP%\_ir_sf_temp_0\licbr.html
%TEMP%\_ir_sf_temp_0\liccn.html
%TEMP%\_ir_sf_temp_0\licen.html
%TEMP%\_ir_sf_temp_0\lices.html
%TEMP%\_ir_sf_temp_0\licjp.html
%TEMP%\_ir_sf_temp_0\licpl.html
%TEMP%\_ir_sf_temp_0\licru.html
%TEMP%\_ir_sf_temp_0\lictr.html
%TEMP%\_ir_sf_temp_0\licua.html
%TEMP%\_ir_sf_temp_0\menu3text1br.html
%TEMP%\_ir_sf_temp_0\menu3text1cn.html
%TEMP%\_ir_sf_temp_0\menu3text1es.html
%TEMP%\_ir_sf_temp_0\menu3text1jp.html
%TEMP%\_ir_sf_temp_0\menu3text1pl.html
%TEMP%\_ir_sf_temp_0\menu3text1ru.html
%TEMP%\_ir_sf_temp_0\menu3text1tr.html
%TEMP%\_ir_sf_temp_0\menu5text1br.html
%TEMP%\_ir_sf_temp_0\menu5text1cn.html
%TEMP%\_ir_sf_temp_0\menu5text1es.html
%TEMP%\_ir_sf_temp_0\menu5text1jp.html
%TEMP%\_ir_sf_temp_0\menu5text1pl.html
%TEMP%\_ir_sf_temp_0\irimg120.png
%TEMP%\_ir_sf_temp_0\irimg92.png
%TEMP%\_ir_sf_temp_0\irimg119.png
%TEMP%\_ir_sf_temp_0\irimg117.png
%TEMP%\_ir_sf_temp_0\irimg94.png
%TEMP%\_ir_sf_temp_0\irimg95.png
%TEMP%\_ir_sf_temp_0\irimg96.png
%TEMP%\_ir_sf_temp_0\irimg97.png
%TEMP%\_ir_sf_temp_0\irimg98.png
%TEMP%\_ir_sf_temp_0\irimg99.png
%TEMP%\_ir_sf_temp_0\irimg100.png
%TEMP%\_ir_sf_temp_0\irimg101.png
%TEMP%\_ir_sf_temp_0\irimg102.png
%TEMP%\_ir_sf_temp_0\irimg103.png
%TEMP%\_ir_sf_temp_0\irimg104.png
%TEMP%\_ir_sf_temp_0\irimg105.png
%TEMP%\_ir_sf_temp_0\irimg106.png
%TEMP%\_ir_sf_temp_0\irimg107.png
%TEMP%\_ir_sf_temp_0\irimg108.png
%TEMP%\_ir_sf_temp_0\irimg109.png
%TEMP%\_ir_sf_temp_0\irimg110.png
%TEMP%\_ir_sf_temp_0\irimg111.png
%TEMP%\_ir_sf_temp_0\irimg112.png
%TEMP%\_ir_sf_temp_0\irimg113.png
%TEMP%\_ir_sf_temp_0\irimg114.png
%TEMP%\_ir_sf_temp_0\irimg115.png
%TEMP%\_ir_sf_temp_0\irimg116.png
%TEMP%\_ir_sf_temp_0\irimg118.png
%TEMP%\_ir_sf_temp_0\irimg93.png
%TEMP%\_ir_sf_temp_0\menu5text1ru.html
%TEMP%\_ir_sf_temp_0\menu6text1es.html
%TEMP%\_ir_sf_temp_0\menu6text1lv.html
%TEMP%\_ir_sf_temp_0\liclt.html
%TEMP%\_ir_sf_temp_0\menu3text1lt.html
%TEMP%\_ir_sf_temp_0\menu5text1lt.html
%TEMP%\_ir_sf_temp_0\menu6text1lt.html
%TEMP%\_ir_sf_temp_0\menu3text1en.html
%TEMP%\_ir_sf_temp_0\licdk.html
%TEMP%\_ir_sf_temp_0\menu3text1dk.html
%TEMP%\_ir_sf_temp_0\menu5text1dk.html
%TEMP%\_ir_sf_temp_0\menu6text1dk.html
%TEMP%\_ir_sf_temp_0\irimg50.png
%TEMP%\_ir_sf_temp_0\menu3text1nl.html
%TEMP%\_ir_sf_temp_0\menu6text1nl.html
%TEMP%\_ir_sf_temp_0\licse.html
%TEMP%\_ir_sf_temp_0\menu3text1se.html
%TEMP%\_ir_sf_temp_0\menu5text1se.html
%TEMP%\_ir_sf_temp_0\menu6text1se.html
%TEMP%\_ir_sf_temp_0\licno.html
%TEMP%\_ir_sf_temp_0\menu3text1no.html
%TEMP%\_ir_sf_temp_0\menu5text1no.html
%TEMP%\_ir_sf_temp_0\menu6text1no.html
%TEMP%\_ir_sf_temp_0\licnl.html
%TEMP%\_ir_sf_temp_0\menu3text1lv.html
%TEMP%\_ir_sf_temp_0\menu5text1lv.html
%TEMP%\_ir_sf_temp_0\menu6text1br.html
%TEMP%\_ir_sf_temp_0\menu5text1tr.html
%TEMP%\_ir_sf_temp_0\menu5text1it.html
%TEMP%\_ir_sf_temp_0\menu6text1jp.html
%TEMP%\_ir_sf_temp_0\menu6text1pl.html
%TEMP%\_ir_sf_temp_0\menu6text1ru.html
%TEMP%\_ir_sf_temp_0\menu6text1tr.html
%TEMP%\_ir_sf_temp_0\menu3text1ua.html
%TEMP%\_ir_sf_temp_0\menu5text1ua.html
%TEMP%\_ir_sf_temp_0\menu6text1ua.html
%TEMP%\_ir_sf_temp_0\licro.html
%TEMP%\_ir_sf_temp_0\menu3text1ro.html
%TEMP%\_ir_sf_temp_0\menu5text1ro.html
%TEMP%\_ir_sf_temp_0\menu6text1ro.html
%TEMP%\_ir_sf_temp_0\licde.html
%TEMP%\_ir_sf_temp_0\menu3text1de.html
%TEMP%\_ir_sf_temp_0\menu5text1de.html
%TEMP%\_ir_sf_temp_0\menu6text1de.html
%TEMP%\_ir_sf_temp_0\licfr.html
%TEMP%\_ir_sf_temp_0\menu3text1fr.html
%TEMP%\_ir_sf_temp_0\menu5text1fr.html
%TEMP%\_ir_sf_temp_0\menu6text1fr.html
%TEMP%\_ir_sf_temp_0\licit.html
%TEMP%\_ir_sf_temp_0\menu3text1it.html
%TEMP%\_ir_sf_temp_0\menu6text1it.html
%TEMP%\_ir_sf_temp_0\menu6text1cn.html
%TEMP%\_ir_sf_temp_0\liclv.html
%TEMP%\_ir_sf_temp_0\irimg91.png
%TEMP%\_ir_sf_temp_0\irimg90.png
%TEMP%\_ir_sf_temp_0\irimg89.png
%TEMP%\_ir_sf_temp_0\irimg12.png
%TEMP%\_ir_sf_temp_0\irimg13.png
%TEMP%\_ir_sf_temp_0\irimg14.png
%TEMP%\_ir_sf_temp_0\irimg15.png
%TEMP%\_ir_sf_temp_0\irimg16.png
%TEMP%\_ir_sf_temp_0\irimg17.png
%TEMP%\_ir_sf_temp_0\irimg18.png
%TEMP%\_ir_sf_temp_0\irimg19.png
%TEMP%\_ir_sf_temp_0\irimg20.png
%TEMP%\_ir_sf_temp_0\irimg21.png
%TEMP%\_ir_sf_temp_0\irimg22.png
%TEMP%\_ir_sf_temp_0\irimg23.png
%TEMP%\_ir_sf_temp_0\irimg24.png
%TEMP%\_ir_sf_temp_0\irimg25.png
%TEMP%\_ir_sf_temp_0\irimg26.png
%TEMP%\_ir_sf_temp_0\irimg27.png
%TEMP%\_ir_sf_temp_0\irimg28.png
%TEMP%\_ir_sf_temp_0\irimg29.png
%TEMP%\_ir_sf_temp_0\irimg30.png
%TEMP%\_ir_sf_temp_0\irimg31.png
%TEMP%\_ir_sf_temp_0\irimg32.png
%TEMP%\_ir_sf_temp_0\irimg33.png
%TEMP%\_ir_sf_temp_0\irimg10.png
%TEMP%\_ir_sf_temp_0\irimg34.png
%TEMP%\_ir_sf_temp_0\irimg9.png
%TEMP%\_ir_sf_temp_0\irimg7.png
%HOMEPATH%\desktop\tlauncher-2.72-installer-0.6.5.v2.exe
%TEMP%\_ir_sf_temp_0\irsetup.exe
%TEMP%\_ir_sf_temp_0\lua5.1.dll
%ALLUSERSPROFILE%\windows\control.bat
%ALLUSERSPROFILE%\windows\control.vbs
%ALLUSERSPROFILE%\windows\install.vbs
%ALLUSERSPROFILE%\windows\msvcp140.dll
%ALLUSERSPROFILE%\windows\nvrtc64_92.dll
%ALLUSERSPROFILE%\windows\nvrtc-builtins64_92.dll
%ALLUSERSPROFILE%\windows\opencl.dll
%ALLUSERSPROFILE%\windows\setup.bat
%ALLUSERSPROFILE%\windows\start.bat
%ALLUSERSPROFILE%\windows\start.vbs
%ALLUSERSPROFILE%\windows\system32.exe
%ALLUSERSPROFILE%\windows\vcruntime140.dll
%ALLUSERSPROFILE%\windows\windows defender.exe
%TEMP%\_ir_sf_temp_0\irsetup.dat
%TEMP%\_ir_sf_temp_0\irimg1.png
%TEMP%\_ir_sf_temp_0\irimg2.png
%TEMP%\_ir_sf_temp_0\irimg3.png
%TEMP%\_ir_sf_temp_0\irimg4.png
%TEMP%\_ir_sf_temp_0\irimg5.png
%TEMP%\_ir_sf_temp_0\irimg6.png
%TEMP%\_ir_sf_temp_0\irimg8.png
%TEMP%\_ir_sf_temp_0\irimg35.png
%TEMP%\_ir_sf_temp_0\irimg11.png
%TEMP%\_ir_sf_temp_0\irimg36.png
%TEMP%\_ir_sf_temp_0\irimg66.png
%TEMP%\_ir_sf_temp_0\irimg68.png
%TEMP%\_ir_sf_temp_0\irimg69.png
%TEMP%\_ir_sf_temp_0\irimg70.png
%TEMP%\_ir_sf_temp_0\irimg71.png
%TEMP%\_ir_sf_temp_0\irimg72.png
%TEMP%\_ir_sf_temp_0\irimg73.png
%TEMP%\_ir_sf_temp_0\irimg74.png
%TEMP%\_ir_sf_temp_0\irimg75.png
%TEMP%\_ir_sf_temp_0\irimg76.png
%TEMP%\_ir_sf_temp_0\irimg77.png
%TEMP%\_ir_sf_temp_0\irimg78.png
%TEMP%\_ir_sf_temp_0\irimg79.png
%TEMP%\_ir_sf_temp_0\irimg80.png
%TEMP%\_ir_sf_temp_0\irimg81.png
%TEMP%\_ir_sf_temp_0\irimg82.png
%TEMP%\_ir_sf_temp_0\irimg83.png
%TEMP%\_ir_sf_temp_0\irimg84.png
%TEMP%\_ir_sf_temp_0\irimg85.png
%TEMP%\_ir_sf_temp_0\irimg86.png
%TEMP%\_ir_sf_temp_0\irimg87.png
%TEMP%\_ir_sf_temp_0\irimg88.png
%TEMP%\_ir_sf_temp_0\irimg65.png
%TEMP%\_ir_sf_temp_0\irimg63.png
%TEMP%\_ir_sf_temp_0\irimg67.png
%TEMP%\_ir_sf_temp_0\irimg64.png
%TEMP%\_ir_sf_temp_0\irimg62.png
%TEMP%\_ir_sf_temp_0\irimg37.png
%TEMP%\_ir_sf_temp_0\irimg39.png
%TEMP%\_ir_sf_temp_0\irimg40.png
%TEMP%\_ir_sf_temp_0\irimg41.png
%TEMP%\_ir_sf_temp_0\irimg42.png
%TEMP%\_ir_sf_temp_0\irimg43.png
%TEMP%\_ir_sf_temp_0\irimg44.png
%TEMP%\_ir_sf_temp_0\irimg45.png
%TEMP%\_ir_sf_temp_0\irimg46.png
%TEMP%\_ir_sf_temp_0\irimg47.png
%TEMP%\_ir_sf_temp_0\irimg48.png
%TEMP%\_ir_sf_temp_0\wow64.lmd
%TEMP%\_ir_sf_temp_0\menu5text1nl.html
%TEMP%\_ir_sf_temp_0\irimg49.png
%TEMP%\_ir_sf_temp_0\irimg52.png
%TEMP%\_ir_sf_temp_0\irimg53.png
%TEMP%\_ir_sf_temp_0\irimg54.png
%TEMP%\_ir_sf_temp_0\irimg55.png
%TEMP%\_ir_sf_temp_0\irimg56.png
%TEMP%\_ir_sf_temp_0\irimg57.png
%TEMP%\_ir_sf_temp_0\irimg58.png
%TEMP%\_ir_sf_temp_0\irimg59.png
%TEMP%\_ir_sf_temp_0\irimg60.png
%TEMP%\_ir_sf_temp_0\irimg61.png
%TEMP%\_ir_sf_temp_0\irimg38.png
%TEMP%\_ir_sf_temp_0\irimg51.png
%TEMP%\_ir_sf_temp_0\calibri_1.tft

Присваивает атрибут 'скрытый' для следующих файлов

%ALLUSERSPROFILE%\windows\control.bat
%ALLUSERSPROFILE%\windows\control.vbs
%ALLUSERSPROFILE%\windows\install.vbs
%ALLUSERSPROFILE%\windows\msvcp140.dll
%ALLUSERSPROFILE%\windows\nvrtc-builtins64_92.dll
%ALLUSERSPROFILE%\windows\nvrtc64_92.dll
%ALLUSERSPROFILE%\windows\opencl.dll
%ALLUSERSPROFILE%\windows\setup.bat
%ALLUSERSPROFILE%\windows\start.bat
%ALLUSERSPROFILE%\windows\start.vbs
%ALLUSERSPROFILE%\windows\system32.exe
%ALLUSERSPROFILE%\windows\vcruntime140.dll
%ALLUSERSPROFILE%\windows\windows defender.exe

Удаляет следующие файлы

%TEMP%\_ir_sf_temp_0\irsetup.dat

Сетевая активность

TCP

'mi###gate.com':443
'xm#.###l.minergate.com':45700

UDP

DNS ASK mi###gate.com
DNS ASK xm#.###l.minergate.com

Другое

Ищет следующие окна

ClassName: 'EDIT' WindowName: ''
ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebCheckMonitor' WindowName: ''

Создает и запускает на исполнение

'%HOMEPATH%\desktop\rnkbou.exe'
'%HOMEPATH%\desktop\tlauncher-2.72-installer-0.6.5.v2.exe'
'%WINDIR%\syswow64\wscript.exe' "%ALLUSERSPROFILE%\Windows\install.vbs"
'%TEMP%\_ir_sf_temp_0\irsetup.exe' __IRAOFF:1905626 "__IRAFN:%HOMEPATH%\Desktop\TLauncher-2.72-Installer-0.6.5.v2.exe" "__IRCT:1" "__IRTSS:17089878" "__IRSID:S-1-5-21-1960123792-2022915161-3775307078-1001"
'%WINDIR%\syswow64\wscript.exe' "%ALLUSERSPROFILE%\Windows\control.vbs"
'%WINDIR%\syswow64\wscript.exe' "%ALLUSERSPROFILE%\Windows\start.vbs"
'%ALLUSERSPROFILE%\windows\system32.exe' --user rnkbou@gmail.com --xmr 1
'%WINDIR%\syswow64\cmd.exe' /c ""%ALLUSERSPROFILE%\Windows\setup.bat" "' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ""%ALLUSERSPROFILE%\Windows\control.bat" "' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ""%ALLUSERSPROFILE%\Windows\start.bat" "' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c "systeminfo "' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c ""%ALLUSERSPROFILE%\Windows\setup.bat" "
'%WINDIR%\syswow64\cmd.exe' /c ""%ALLUSERSPROFILE%\Windows\start.bat" "
'%WINDIR%\syswow64\tasklist.exe' /NH /FI "IMAGENAME eq system32.exe"
'%WINDIR%\syswow64\cmd.exe' /c tasklist /NH /FI "IMAGENAME eq system32.exe"
'%WINDIR%\syswow64\timeout.exe' /t 1 /nobreak
'%WINDIR%\syswow64\tasklist.exe' /NH /FI "IMAGENAME eq ProcessHacker.exe"
'%WINDIR%\syswow64\cmd.exe' /c tasklist /NH /FI "IMAGENAME eq ProcessHacker.exe"
'<SYSTEM32>\cmd.exe' /c "systeminfo "
'%WINDIR%\syswow64\tasklist.exe' /NH /FI "IMAGENAME eq procexp64.exe"
'%WINDIR%\syswow64\tasklist.exe' /NH /FI "IMAGENAME eq taskmgr.exe"
'%WINDIR%\syswow64\cmd.exe' /c tasklist /NH /FI "IMAGENAME eq taskmgr.exe"
'%WINDIR%\syswow64\cmd.exe' /c ""%ALLUSERSPROFILE%\Windows\control.bat" "
'%WINDIR%\syswow64\attrib.exe' %ALLUSERSPROFILE%\Windows\*.* +S +H
'%WINDIR%\syswow64\reg.exe' ADD "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /v "Windows Defender" /t REG_SZ /d "%ALLUSERSPROFILE%\Windows\Windows Defender.exe" /f
'%WINDIR%\syswow64\attrib.exe' %ALLUSERSPROFILE%\Windows\*.* -S -H
'%WINDIR%\syswow64\cmd.exe' /c tasklist /NH /FI "IMAGENAME eq procexp64.exe"
'<SYSTEM32>\systeminfo.exe'

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней