Trojan.Siggen11.49252

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'WmiPrvSE' = '"%WINDIR%\Panther\UnattendGC\WmiPrvSE.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'winlogon' = '"C:\totalcmd\LANGUAGE\winlogon.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'mdm' = '"C:\Far2\Plugins\Align\mdm.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'svchost' = '"C:\Recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\svchost.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'WmiPrvSE' = '"C:\Recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\WmiPrvSE.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'explorer' = '"%WINDIR%\Offline Web Pages\explorer.exe"'

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\wmiprvse
<SYSTEM32>\tasks\winlogon
<SYSTEM32>\tasks\mdm
<SYSTEM32>\tasks\svchost
<SYSTEM32>\tasks\explorer

Вредоносные функции

Читает файлы, отвечающие за хранение паролей сторонними программами

%LOCALAPPDATA%\google\chrome\user data\default\cookies
%LOCALAPPDATA%\google\chrome\user data\default\login data
%APPDATA%\opera software\opera stable\login data
%LOCALAPPDATA%\google\chrome\user data\default\web data

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: 'FilemonClass', WindowName: ''
ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
ClassName: 'RegmonClass', WindowName: ''

Изменения в файловой системе

Создает следующие файлы

%WINDIR%\panther\unattendgc\wmiprvse.exe
%TEMP%\nfjpjpaef2
%TEMP%\zbyalzqi4g
%TEMP%\hwm0oeckuf
%TEMP%\aopgc7xm5z
%TEMP%\rrjd1adxhm
%TEMP%\9n567rcsae
%TEMP%\nzuzblvr7o
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
%LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
%TEMP%\bemfozmj8o
%TEMP%\lpcifxstiv
%TEMP%\eel0w2xulp
%TEMP%\ovztl5aari
%TEMP%\e2uwd7wlto
%TEMP%\dljmt63vtw
%TEMP%\wo5rbrxtbq
%TEMP%\bc8sjzpthk
%TEMP%\eilpcxbfes
%TEMP%\kzpomsn9yt
%WINDIR%\panther\unattendgc\24dbde2999530ef5fd907494bc374d663924116c
C:\totalcmd\language\winlogon.exe
C:\totalcmd\language\cc11b995f2a76da408ea6a601e682e64743153ad
C:\far2\plugins\align\mdm.exe
C:\far2\plugins\align\559fba5f8e44108851927af432f0edac6117c574
C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\svchost.exe
C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\f4d236fdec2fd03914189c3b26e5cb0dfea9d761
C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\wmiprvse.exe
C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\24dbde2999530ef5fd907494bc374d663924116c
%WINDIR%\offline web pages\explorer.exe
%WINDIR%\offline web pages\7a0fd90576e08807bde2cc57bcf9854bbce05fe3
%TEMP%\wrwhd2tpd9
%TEMP%\m6okza5qpo
%TEMP%\jbxh8kcecr
%TEMP%\zvbuaauqe7
%TEMP%\gaclrc7n9y
%TEMP%\0rypnhfgfu
%TEMP%\biiqwztmwm
%TEMP%\wrbaqluyxy

Удаляет следующие файлы

%TEMP%\wrwhd2tpd9
%TEMP%\dljmt63vtw
%TEMP%\e2uwd7wlto
%TEMP%\ovztl5aari
%TEMP%\eel0w2xulp
%TEMP%\lpcifxstiv
%TEMP%\bemfozmj8o
%TEMP%\nzuzblvr7o
%TEMP%\9n567rcsae
%TEMP%\rrjd1adxhm
%TEMP%\aopgc7xm5z
%TEMP%\bc8sjzpthk
%TEMP%\hwm0oeckuf
%TEMP%\nfjpjpaef2
%TEMP%\wo5rbrxtbq
%TEMP%\eilpcxbfes
%TEMP%\biiqwztmwm
%TEMP%\kzpomsn9yt
%TEMP%\0rypnhfgfu
%TEMP%\gaclrc7n9y
%TEMP%\zvbuaauqe7
%TEMP%\jbxh8kcecr
%TEMP%\m6okza5qpo
%TEMP%\zbyalzqi4g
%TEMP%\wrbaqluyxy

Сетевая активность

TCP

Запросы HTTP GET

http://a0####26.xsph.ru/m7xyf/or45zsehaq0bxnuc1fpy7l3rq4255vse26wrdh6gkn3t1ibpjmse7v0pleov92bmtdx/2865216723b63e98840105a341047bc6a156d746.php?sF################################################...
http://a0####26.xsph.ru/m7xyf/or45zsehaq0bxnuc1fpy7l3rq4255vse26wrdh6gkn3t1ibpjmse7v0pleov92bmtdx/g2j3ku4b2ock7oy9d8xshtf8qhudnzda0zvz5l9lcp57e3oh8uy8ba21m77glfjvp6qc5sxrxvn0iavmru3st0if40/e257...

'ap#.##legram.org':443

'ip##fo.io':443

UDP

DNS ASK a0####26.xsph.ru
DNS ASK ap#.##legram.org
DNS ASK ip##fo.io

Другое

Ищет следующие окна

ClassName: 'File Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
ClassName: 'Process Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
ClassName: 'Registry Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
ClassName: '18467-41' WindowName: ''

Создает и запускает на исполнение

'%WINDIR%\offline web pages\explorer.exe'

Запускает на исполнение

'%WINDIR%\syswow64\schtasks.exe' /create /tn "WmiPrvSE" /sc ONLOGON /tr "'%WINDIR%\Panther\UnattendGC\WmiPrvSE.exe'" /rl HIGHEST /f
'%WINDIR%\syswow64\schtasks.exe' /create /tn "winlogon" /sc ONLOGON /tr "'C:\totalcmd\LANGUAGE\winlogon.exe'" /rl HIGHEST /f
'%WINDIR%\syswow64\schtasks.exe' /create /tn "mdm" /sc ONLOGON /tr "'C:\Far2\Plugins\Align\mdm.exe'" /rl HIGHEST /f
'%WINDIR%\syswow64\schtasks.exe' /create /tn "svchost" /sc ONLOGON /tr "'C:\Recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\svchost.exe'" /rl HIGHEST /f
'%WINDIR%\syswow64\schtasks.exe' /create /tn "WmiPrvSE" /sc ONLOGON /tr "'C:\Recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\WmiPrvSE.exe'" /rl HIGHEST /f
'%WINDIR%\syswow64\schtasks.exe' /create /tn "explorer" /sc ONLOGON /tr "'%WINDIR%\Offline Web Pages\explorer.exe'" /rl HIGHEST /f
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Get-MpPreference -verbose