Trojan.Siggen12.44690

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Extension_game' = '"%APPDATA%\Extension_game\python\pythonw.exe" "load.pyc" ml2'

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\extension_game
<SYSTEM32>\tasks\extension_game2

Изменения в файловой системе

Создает следующие файлы

%TEMP%\ex4pgo16.exe
%APPDATA%\extension_game\python\python37.dll
%APPDATA%\extension_game\python\python37.zip
%APPDATA%\extension_game\python\pythonw.exe
%APPDATA%\extension_game\python\select.pyd
%APPDATA%\extension_game\python\sqlite3.dll
%APPDATA%\extension_game\python\unicodedata.pyd
%APPDATA%\extension_game\python\vcruntime140.dll
%APPDATA%\extension_game\python\winsound.pyd
%APPDATA%\extension_game\python\_hashlib.pyd
%TEMP%\nswc91a.tmp\nsexec.dll
%APPDATA%\extension_game\subid.txt
%APPDATA%\extension_game\pbid.txt
%APPDATA%\extension_game\pburl.txt
%APPDATA%\extension_game\pb2url.txt
%APPDATA%\extension_game\uuid.txt
%APPDATA%\extension_game\pbsent.txt
%TEMP%\esy6hjta
%TEMP%\tmpbizwkce_
%APPDATA%\extension_game\python\python3.dll
%APPDATA%\extension_game\python\python37._pth
%APPDATA%\extension_game\python\python.exe
%APPDATA%\extension_game\python\pyexpat.pyd
%APPDATA%\extension_game\python\libssl-1_1.dll
%APPDATA%\extension_game\ldebknckbddjkggpkncndoehioekooaa.crx
%APPDATA%\extension_game\load.bin
%APPDATA%\extension_game\load.pyc
%APPDATA%\extension_game\python\license.txt
%APPDATA%\extension_game\python\_asyncio.pyd
%APPDATA%\extension_game\python\_bz2.pyd
%APPDATA%\extension_game\python\_ctypes.pyd
%APPDATA%\extension_game\python\_decimal.pyd
%APPDATA%\extension_game\uninstall.exe
%APPDATA%\extension_game\pi.txt
%APPDATA%\extension_game\python\_elementtree.pyd
%APPDATA%\extension_game\python\_msi.pyd
%APPDATA%\extension_game\python\_multiprocessing.pyd
%APPDATA%\extension_game\python\_overlapped.pyd
%APPDATA%\extension_game\python\_queue.pyd
%APPDATA%\extension_game\python\_socket.pyd
%APPDATA%\extension_game\python\_sqlite3.pyd
%APPDATA%\extension_game\python\_ssl.pyd
%APPDATA%\extension_game\python\libcrypto-1_1.dll
%TEMP%\nswc34f.tmp
%APPDATA%\extension_game\python\_lzma.pyd
%TEMP%\tmpz_mvcvmh

Удаляет следующие файлы

%TEMP%\esy6hjta
%TEMP%\nswc91a.tmp\nsexec.dll
%TEMP%\tmpbizwkce_
%TEMP%\tmpz_mvcvmh

Сетевая активность

Подключается к

'ip###ger.org':80
'ip###ger.org':443
'microsoft.com':80
'ju###ush3.gq':80
'd2#######knpiy.cloudfront.net':80
'oc##.#ectigo.com':80
'chrome.google.com':443
'go#####analytics.com':80

TCP

Запросы HTTP GET

http://ip###ger.org/1k9Xe7

'ip###ger.org':443

'jj###.adsbtrk.com':443

'chrome.google.com':443

UDP

DNS ASK ip###ger.org
DNS ASK microsoft.com
DNS ASK ju###ush3.gq
DNS ASK d2#######knpiy.cloudfront.net
DNS ASK oc##.#ectigo.com
DNS ASK jj###.adsbtrk.com
DNS ASK chrome.google.com
DNS ASK go#####analytics.com

Другое

Создает и запускает на исполнение

'%TEMP%\ex4pgo16.exe' /S /pb=https://jjmyn.adsbtrk.com/c/84864a29df35264a?SUBID={SUBID}&PUBID={PUBID}&HID={HID}&GEO={GEO}&TS={TS} /pb2=https://jjmyn.adsbtrk.com/c/9e5e1977dadb9896?SUBID={SUBID}&PUBID={PUBID}&HID={HI...
'%APPDATA%\extension_game\python\python.exe' load.pyc "" checkinstalled
'%APPDATA%\extension_game\python\python.exe' load.pyc --subid="{SES}" --pbid="png" --pb="https://jjmyn.adsbtrk.com/c/84864a29df35264a?SUBID={SUBID}&PUBID={PUBID}&HID={HID}&GEO={GEO}&TS={TS}" --pb2="https://jjmyn.adsbtrk.com/c/9e5e1977dadb...
'%APPDATA%\extension_game\python\python.exe' load.pyc --act=inst ml2
'%APPDATA%\extension_game\python\python.exe' load.pyc launchall2
'%APPDATA%\extension_game\python\python.exe' load.pyc manage2
'%APPDATA%\extension_game\python\python.exe' load.py app
'%APPDATA%\extension_game\python\python.exe' load.pyc "" checkinstalled' (со скрытым окном)
'%APPDATA%\extension_game\python\python.exe' load.pyc --subid="{SES}" --pbid="png" --pb="https://jjmyn.adsbtrk.com/c/84864a29df35264a?SUBID={SUBID}&PUBID={PUBID}&HID={HID}&GEO={GEO}&TS={TS}" --pb2="https://jjmyn.adsbtrk.com/c/9e5e1977dadb...' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c schtasks /create /f /tn "Extension_game" /xml "%TEMP%\tmpbizwkce_"
'%WINDIR%\syswow64\schtasks.exe' /create /f /tn "Extension_game" /xml "%TEMP%\tmpbizwkce_"
'%WINDIR%\syswow64\cmd.exe' /c schtasks /create /f /tn "Extension_game2" /xml "%TEMP%\tmpz_mvcvmh"
'%WINDIR%\syswow64\schtasks.exe' /create /f /tn "Extension_game2" /xml "%TEMP%\tmpz_mvcvmh"