Trojan.Siggen11.49189

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'mdm' = '"C:\Users\Public\Documents\My Pictures\mdm.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'taskhost' = '"C:\PerfLogs\Admin\taskhost.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'WmiPrvSE' = '"C:\MSOCache\All Users\{90140000-002C-0409-1000-0000000FF1CE}-C\Proof.fr\WmiPrvSE.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'WmiPrvSE' = '"C:\Far2\Encyclopedia\tap\WmiPrvSE.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Idle' = '"%ALLUSERSPROFILE%\Microsoft Toolkit\Idle.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'System' = '"C:\Recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\System.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'svchost' = '"<Текущая директория>\svchost.exe"'

Создает или изменяет следующие файлы

Создает следующие файлы на съемном носителе

Вредоносные функции

Читает файлы, отвечающие за хранение паролей сторонними программами

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: 'OLLYDBG', WindowName: ''
ClassName: 'GBDYLLO', WindowName: ''
ClassName: 'pediy06', WindowName: ''
ClassName: 'FilemonClass', WindowName: ''
ClassName: '', WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
ClassName: '', WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'RegmonClass', WindowName: ''
ClassName: '', WindowName: 'Registry Monitor - Sysinternals: www.sysinternals.com'

Изменения в файловой системе

Создает следующие файлы

C:\users\public\documents\my pictures\mdm.exe
%TEMP%\3cq3nmriom
%TEMP%\2v3xv2n4ht
%TEMP%\82r134kpt6
%TEMP%\wzay28zrdt
%TEMP%\pathlhc3yv
%TEMP%\sgrglgzs5k
%TEMP%\vn5gaqxvep
%TEMP%\3ovq89xeba
%TEMP%\f76oluyd9f
%TEMP%\m5gjofyjha
%TEMP%\k0axdovx0o
%TEMP%\knrkjtq7gu
%WINDIR%defender\runshell.exe
%TEMP%\knzvdeagqe
<Текущая директория>\f4d236fdec2fd03914189c3b26e5cb0dfea9d761
<Текущая директория>\svchost.exe
C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\27d1bcfc3c54e0e44ea423ffd4ee81fe73670a2a
C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\system.exe
%ALLUSERSPROFILE%\microsoft toolkit\6ccacd8608530fba3a93e87ae2225c7032aa18c1
%ALLUSERSPROFILE%\microsoft toolkit\idle.exe
C:\far2\encyclopedia\tap\24dbde2999530ef5fd907494bc374d663924116c
C:\far2\encyclopedia\tap\wmiprvse.exe
C:\msocache\all users\{90140000-002c-0409-1000-0000000ff1ce}-c\proof.fr\24dbde2999530ef5fd907494bc374d663924116c
C:\msocache\all users\{90140000-002c-0409-1000-0000000ff1ce}-c\proof.fr\wmiprvse.exe
C:\perflogs\admin\b75386f1303e64d8139363b71e44ac16341adf4e
C:\perflogs\admin\taskhost.exe
C:\users\public\documents\my pictures\559fba5f8e44108851927af432f0edac6117c574
%TEMP%\2s0njspl93
%TEMP%\krgd6heb6k

Присваивает атрибут 'скрытый' для следующих файлов

Удаляет следующие файлы

Сетевая активность

TCP

Запросы HTTP GET

http://62.##9.26.131/ql2536btk2a91yzsln13stn7i1rqeciahd877mb2p3r49e8ahw7owuim4gsyupsu4bjdrox9w1ep4muqvxt/27u0op171mqb3d5n6ereqf3nwx4/c51e7e842f90b5209a786717208aed51c679bb00.php?H5#############...
http://62.##9.26.131/ql2536btk2a91yzsln13stn7i1rqeciahd877mb2p3r49e8ahw7owuim4gsyupsu4bjdrox9w1ep4muqvxt/27u0op171mqb3d5n6ereqf3nwx4/wmwlu3burlnq6ij42kfdis8x4bwf0zhelng9ed9pux7qp1rga30wjsil45/4...

'gi##ub.com':443

'ra#.####ubusercontent.com':443

'ip##fo.io':443

UDP

Другое

Ищет следующие окна

Создает и запускает на исполнение

'<Текущая директория>\svchost.exe'
'%WINDIR%defender\runshell.exe' --url=xmr.kryptex.network:7000 --user=874CsAXxxTmWddUgkyW8xqHPUeYGYsDKQWhQCZKphsHdH4KAR2XAakAP3sCn9qHz5Pbvti8NVYQJR1BaxmruQ3KDPHQqXVY.v2de422888 -p=x --coin=XMR --http-port=12000 --cpu-max-thre...

Запускает на исполнение

'%WINDIR%\syswow64\schtasks.exe' /create /tn "mdm" /sc ONLOGON /tr "'C:\Users\Public\Documents\My Pictures\mdm.exe'" /rl HIGHEST /f
'%WINDIR%\syswow64\schtasks.exe' /create /tn "taskhost" /sc ONLOGON /tr "'C:\PerfLogs\Admin\taskhost.exe'" /rl HIGHEST /f
'%WINDIR%\syswow64\schtasks.exe' /create /tn "WmiPrvSE" /sc ONLOGON /tr "'C:\MSOCache\All Users\{90140000-002C-0409-1000-0000000FF1CE}-C\Proof.fr\WmiPrvSE.exe'" /rl HIGHEST /f
'%WINDIR%\syswow64\schtasks.exe' /create /tn "WmiPrvSE" /sc ONLOGON /tr "'C:\Far2\Encyclopedia\tap\WmiPrvSE.exe'" /rl HIGHEST /f
'%WINDIR%\syswow64\schtasks.exe' /create /tn "Idle" /sc ONLOGON /tr "'%ALLUSERSPROFILE%\Microsoft Toolkit\Idle.exe'" /rl HIGHEST /f
'%WINDIR%\syswow64\schtasks.exe' /create /tn "System" /sc ONLOGON /tr "'C:\Recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\System.exe'" /rl HIGHEST /f
'%WINDIR%\syswow64\schtasks.exe' /create /tn "svchost" /sc ONLOGON /tr "'<Текущая директория>\svchost.exe'" /rl HIGHEST /f
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Get-MpPreference -verbose
'%WINDIR%\syswow64\schtasks.exe' /Delete /tn "mdm" /f