Trojan.Siggen12.31095

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[<HKLM>\System\CurrentControlSet\Services\OpenVPNServiceInteractive] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\OpenVPNServiceInteractive] 'ImagePath' = '"%ProgramFiles%\OpenVPN\bin\openvpnserv.exe"'
[<HKLM>\System\CurrentControlSet\Services\OpenVPNServiceLegacy] 'ImagePath' = '"%ProgramFiles%\OpenVPN\bin\openvpnserv.exe"'
[<HKLM>\System\CurrentControlSet\Services\OpenVPNService] 'ImagePath' = '"%ProgramFiles%\OpenVPN\bin\openvpnserv2.exe"'

Создает следующие сервисы

'OpenVPNServiceInteractive' "%ProgramFiles%\OpenVPN\bin\openvpnserv.exe"
'OpenVPNServiceInteractive' %ProgramFiles%\OpenVPN\bin\openvpnserv.exe
'OpenVPNServiceLegacy' "%ProgramFiles%\OpenVPN\bin\openvpnserv.exe"
'OpenVPNService' "%ProgramFiles%\OpenVPN\bin\openvpnserv2.exe"
'OpenVPNService' %ProgramFiles%\OpenVPN\bin\openvpnserv2.exe

Изменения в файловой системе

Создает следующие файлы

%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\openvpn\utilities\generate a static openvpn key.lnk
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\openvpn\shortcuts\openvpn sample configuration files.lnk
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\openvpn\shortcuts\openvpn log file directory.lnk
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\openvpn\shortcuts\openvpn configuration file directory.lnk
%ProgramFiles%\openvpn\bin\openvpnserv2.exe
%TEMP%\tap-windows.exe
%TEMP%\nsh2b65.tmp\nsexec.dll
%TEMP%\nss6623.tmp
%TEMP%\nsh6633.tmp\system.dll
%TEMP%\nsh6633.tmp\userinfo.dll
%ProgramFiles%\openvpn\sample-config\server.ovpn
%ProgramFiles%\openvpn\log\readme.txt
%ProgramFiles%\tap-windows\bin\tapinstall.exe
%ProgramFiles%\tap-windows\driver\tap0901.sys
%ProgramFiles%\tap-windows\bin\addtap.bat
%ProgramFiles%\tap-windows\bin\deltapall.bat
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\tap-windows\utilities\add a new tap virtual ethernet adapter.lnk
%TEMP%\nsh6633.tmp\shelllink.dll
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\tap-windows\utilities\delete all tap virtual ethernet adapters.lnk
%ProgramFiles%\tap-windows\license.txt
%ProgramFiles%\tap-windows\icon.ico
%TEMP%\nsh6633.tmp\nsexec.dll
%TEMP%\{4fd83053-283a-6212-7db7-18649f06bd23}\setdcb7.tmp
%ProgramFiles%\tap-windows\driver\oemvista.inf
%ProgramFiles%\tap-windows\driver\tap0901.cat
%ProgramFiles%\openvpn\sample-config\client.ovpn
%ProgramFiles%\openvpn\sample-config\sample.ovpn
%ProgramFiles%\openvpn\config\readme.txt
%LOCALAPPDATA%\microsoft\windows\history\low\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\index.dat
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\oyrfn8yj\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\0sq02d6g\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\ucfopl7p\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\m5e9yw2j\desktop.ini
%APPDATA%\microsoft\windows\cookies\low\index.dat
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\index.dat
<Текущая директория>\openvpn-install-2.4.8-i602-win7.exe
%TEMP%\nsc2b55.tmp
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
%TEMP%\nsh2b65.tmp\system.dll
%TEMP%\nsh2b65.tmp\modern-header.bmp
%TEMP%\nsh2b65.tmp\modern-wizard.bmp
%TEMP%\nsh2b65.tmp\nsdialogs.dll
%TEMP%\nsh2b65.tmp\simplesc.dll
%TEMP%\nsh2b65.tmp\nsprocess.dll
%ProgramFiles%\openvpn\bin\openvpn.exe
%ProgramFiles%\openvpn\doc\install-win32.txt
%ProgramFiles%\openvpn\doc\openvpn.8.html
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\openvpn\documentation\openvpn manual page.lnk
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\openvpn\documentation\openvpn windows notes.lnk
%ProgramFiles%\openvpn\bin\openvpnserv.exe
%TEMP%\nsh2b65.tmp\userinfo.dll
%TEMP%\{4fd83053-283a-6212-7db7-18649f06bd23}\setde10.tmp
%TEMP%\{4fd83053-283a-6212-7db7-18649f06bd23}\sete207.tmp

Присваивает атрибут 'скрытый' для следующих файлов

%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\oyrfn8yj\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\0sq02d6g\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\ucfopl7p\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\m5e9yw2j\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\desktop.ini

Перемещает следующие файлы

%TEMP%\{4fd83053-283a-6212-7db7-18649f06bd23}\setdcb7.tmp в %TEMP%\{4fd83053-283a-6212-7db7-18649f06bd23}\oemvista.inf
%TEMP%\{4fd83053-283a-6212-7db7-18649f06bd23}\setde10.tmp в %TEMP%\{4fd83053-283a-6212-7db7-18649f06bd23}\tap0901.cat
%TEMP%\{4fd83053-283a-6212-7db7-18649f06bd23}\sete207.tmp в %TEMP%\{4fd83053-283a-6212-7db7-18649f06bd23}\tap0901.sys

Сетевая активность

Подключается к

'k1.#ss24.ru':2280
'microsoft.com':80

UDP

DNS ASK k1.#ss24.ru
DNS ASK microsoft.com

Другое

Ищет следующие окна

ClassName: '#32770' WindowName: ''
ClassName: 'OpenVPN-GUI' WindowName: ''
ClassName: 'SysListView32' WindowName: ''

Создает и запускает на исполнение

'<Текущая директория>\openvpn-install-2.4.8-i602-win7.exe'
'%TEMP%\tap-windows.exe' /S /SELECT_UTILITIES=1
'%ProgramFiles%\tap-windows\bin\tapinstall.exe' hwids tap0901
'%ProgramFiles%\tap-windows\bin\tapinstall.exe' install "%ProgramFiles%\TAP-Windows\driver\OemVista.inf" tap0901
'%TEMP%\tap-windows.exe' /S /SELECT_UTILITIES=1' (со скрытым окном)
'%ProgramFiles%\tap-windows\bin\tapinstall.exe' hwids tap0901' (со скрытым окном)
'%ProgramFiles%\tap-windows\bin\tapinstall.exe' install "%ProgramFiles%\TAP-Windows\driver\OemVista.inf" tap0901' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\rundll32.exe' "%WINDIR%\syswow64\WININET.dll",DispatchAPICall 1
'<SYSTEM32>\rundll32.exe' <SYSTEM32>\pnpui.dll,InstallSecurityPromptRunDllW 20 Global\{77fa3795-7c99-207c-3df8-ca052a47765e} Global\{18054e88-6ee6-1112-bfc7-8f2d4968bd43} <DRIVERSTORE>\Temp\{28d4fca7-1f89-33c6-3cfe-7412...