Trojan.Siggen12.41497

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'JTIpXUIySMQRFsilOMe' = '%WINDIR%\Resources\Themes\aero\Shell\nrHGRhJgiZLVeovpJXlLfiw\svchost.exe'

Создает или изменяет следующие файлы

%APPDATA%\microsoft\windows\start menu\programs\startup\jtipxuiysmqrfsilome.exe

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует запуск следующих системных утилит:

Системный антивирус (Защитник Windows)

блокирует:

Средство контроля пользовательских учетных записей (UAC)

добавляет исключения антивируса с помощью следующих ключей реестра::

[<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows Defender\Exclusions\Paths] '<Полный путь к файлу>' = '00000000'
[<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows Defender\Exclusions\Paths] '%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\JTIpXUIySMQRFsilOMe.exe' = '00000000'
[<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows Defender\Exclusions\Paths] '%WINDIR%\Resources\Themes\aero\Shell\nrHGRhJgiZLVeovpJXlLfiw\svchost.exe' = '00000000'

Внедряет код в

следующие пользовательские процессы:

jtipxuiysmqrfsilome.exe

Изменения в файловой системе

Создает следующие файлы

%LOCALAPPDATA%\ajscsgiusrnzwwptoschtczig\<Имя файла>.exe_url_ntfreen22fhysbikdjo3rf0kqo3tj0sx\3.992.123.344\f30p0kco.newcfg
%TEMP%\3d38bc95-df66-49ff-99c4-a38e03cb1f99\advancedrun.exe
%TEMP%\3d38bc95-df66-49ff-99c4-a38e03cb1f99\test.bat
%WINDIR%\resources\themes\aero\shell\nrhgrhjgizlveovpjxllfiw\svchost.exe
%LOCALAPPDATA%\ajscsgiusrnzwwptoschtczig\jtipxuiysmqrfsilome.exe_url_wb3z3qlvgtqkbrkd1yw0d055onpl3ude\3.992.123.344\zseug2ym.newcfg
%TEMP%\ef6ce216-dead-4071-9eb5-0a41893f602a\advancedrun.exe
%TEMP%\ef6ce216-dead-4071-9eb5-0a41893f602a\test.bat

Удаляет следующие файлы

%TEMP%\3d38bc95-df66-49ff-99c4-a38e03cb1f99\advancedrun.exe
%TEMP%\3d38bc95-df66-49ff-99c4-a38e03cb1f99\test.bat
%TEMP%\ef6ce216-dead-4071-9eb5-0a41893f602a\advancedrun.exe
%TEMP%\ef6ce216-dead-4071-9eb5-0a41893f602a\test.bat

Перемещает следующие файлы

%LOCALAPPDATA%\ajscsgiusrnzwwptoschtczig\<Имя файла>.exe_url_ntfreen22fhysbikdjo3rf0kqo3tj0sx\3.992.123.344\f30p0kco.newcfg в %LOCALAPPDATA%\ajscsgiusrnzwwptoschtczig\<Имя файла>.exe_url_ntfreen22fhysbikdjo3rf0kqo3tj0sx\3.992.123.344\user.config
%LOCALAPPDATA%\ajscsgiusrnzwwptoschtczig\jtipxuiysmqrfsilome.exe_url_wb3z3qlvgtqkbrkd1yw0d055onpl3ude\3.992.123.344\zseug2ym.newcfg в %LOCALAPPDATA%\ajscsgiusrnzwwptoschtczig\jtipxuiysmqrfsilome.exe_url_wb3z3qlvgtqkbrkd1yw0d055onpl3ude\3.992.123.344\user.config

Сетевая активность

Подключается к

'microsoft.com':80
'li########abestteamoftheworld.com':80
'li########abestteamoftheworld.com':443

TCP

Запросы HTTP GET

http://li########abestteamoftheworld.com/liverpool-fc-news/features/steven-gerrard-liverpool-future-dalglish--goal-0FA13DE6CE309C97AA9BDAFDB83129EE.html
http://li########abestteamoftheworld.com/liverpool-fc-news/features/steven-gerrard-liverpool-future-dalglish--goal-F0044AD1B1EBECFA5304B352A78F3783.html

'li########abestteamoftheworld.com':443

UDP

DNS ASK microsoft.com
DNS ASK li########abestteamoftheworld.com

Другое

Создает и запускает на исполнение

'%TEMP%\3d38bc95-df66-49ff-99c4-a38e03cb1f99\advancedrun.exe' /EXEFilename "%TEMP%\3d38bc95-df66-49ff-99c4-a38e03cb1f99\test.bat" /WindowState ""0"" /PriorityClass ""32"" /CommandLine "" /StartDirectory "" /RunAs 8 /Run
'%TEMP%\3d38bc95-df66-49ff-99c4-a38e03cb1f99\advancedrun.exe' /SpecialRun 4101d8 2328
'%APPDATA%\microsoft\windows\start menu\programs\startup\jtipxuiysmqrfsilome.exe'
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%WINDIR%\Resources\Themes\aero\Shell\nrHGRhJgiZLVeovpJXlLfiw\svchost.exe" -Force
'%TEMP%\ef6ce216-dead-4071-9eb5-0a41893f602a\advancedrun.exe' /EXEFilename "%TEMP%\ef6ce216-dead-4071-9eb5-0a41893f602a\test.bat" /WindowState ""0"" /PriorityClass ""32"" /CommandLine "" /StartDirectory "" /RunAs 8 /Run
'%TEMP%\ef6ce216-dead-4071-9eb5-0a41893f602a\advancedrun.exe' /SpecialRun 4101d8 1996
'%TEMP%\3d38bc95-df66-49ff-99c4-a38e03cb1f99\advancedrun.exe' /EXEFilename "%TEMP%\3d38bc95-df66-49ff-99c4-a38e03cb1f99\test.bat" /WindowState ""0"" /PriorityClass ""32"" /CommandLine "" /StartDirectory "" /RunAs 8 /Run' (со скрытым окном)
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "<Полный путь к файлу>" -Force' (со скрытым окном)
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\JTIpXUIySMQRFsilOMe.exe" -Force' (со скрытым окном)
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%WINDIR%\Resources\Themes\aero\Shell\nrHGRhJgiZLVeovpJXlLfiw\svchost.exe" -Force' (со скрытым окном)
'%TEMP%\ef6ce216-dead-4071-9eb5-0a41893f602a\advancedrun.exe' /EXEFilename "%TEMP%\ef6ce216-dead-4071-9eb5-0a41893f602a\test.bat" /WindowState ""0"" /PriorityClass ""32"" /CommandLine "" /StartDirectory "" /RunAs 8 /Run' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "<Полный путь к файлу>" -Force
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\JTIpXUIySMQRFsilOMe.exe" -Force
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%WINDIR%\Resources\Themes\aero\Shell\nrHGRhJgiZLVeovpJXlLfiw\svchost.exe" -Force