Trojan.Siggen13.540

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "C:\Far2\FExcept\csrss.exe"'
[<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'System' = '"%ProgramFiles(x86)%\K-Lite Codec Pack\Info\System.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'System' = '"%ProgramFiles(x86)%\K-Lite Codec Pack\Info\System.exe"'
[<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'System' = '"%ProgramFiles%\LogWatNT\System.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'System' = '"%ProgramFiles%\LogWatNT\System.exe"'
[<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'taskhost' = '"%ProgramFiles(x86)%\Reference Assemblies\Microsoft\Framework\v3.5\RedistList\taskhost.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'taskhost' = '"%ProgramFiles(x86)%\Reference Assemblies\Microsoft\Framework\v3.5\RedistList\taskhost.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'msiexec' = '"<SYSTEM32>\objsel\msiexec.exe"'
[<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'mdm' = '"C:\Recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\mdm.exe"'
[<HKLM>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "C:\Far2\FExcept\csrss.exe", "%ProgramFiles%\guardgni\lsm.exe", "C:\Recovery\1195d5a8-f371-11e4-9c00-dd30...
[<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'lsm' = '"%ProgramFiles%\guardgni\lsm.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'lsm' = '"%ProgramFiles%\guardgni\lsm.exe"'
[<HKLM>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "C:\Far2\FExcept\csrss.exe", "%ProgramFiles%\guardgni\lsm.exe"'
[<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'csrss' = '"C:\Far2\FExcept\csrss.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'csrss' = '"C:\Far2\FExcept\csrss.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'mdm' = '"C:\Recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\mdm.exe"'
[<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'msiexec' = '"<SYSTEM32>\objsel\msiexec.exe"'

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\csrss
<SYSTEM32>\tasks\lsm
<SYSTEM32>\tasks\mdm
<SYSTEM32>\tasks\taskhost
<SYSTEM32>\tasks\system
<SYSTEM32>\tasks\msiexec

Вредоносные функции

Читает файлы, отвечающие за хранение паролей сторонними программами

%LOCALAPPDATA%\google\chrome\user data\default\cookies
%LOCALAPPDATA%\google\chrome\user data\default\login data
%APPDATA%\opera software\opera stable\login data
%LOCALAPPDATA%\google\chrome\user data\default\web data

Изменения в файловой системе

Создает следующие файлы

C:\far2\fexcept\csrss.exe
C:\users\public\i16aazl2kc
C:\users\public\jckzrttehq
C:\users\public\ppnnsgsaxh
C:\users\public\saoexcte9o
C:\users\public\vsbz3dkphb
C:\users\public\z06ieae0yj
C:\users\public\bu3aujgect
C:\users\public\up6i6pi2hn
C:\users\public\znhzxmfuxw
C:\users\public\klwf8770ij
C:\users\public\q2sotr3pdd
C:\users\public\kun2avias0
C:\users\public\atd08pzfdw
C:\users\public\8bzgsrhwgl
<SYSTEM32>\objsel\133006b48fb54b65ec2045921283a18304e24d5a
<SYSTEM32>\objsel\msiexec.exe
%ProgramFiles(x86)%\k-lite codec pack\info\27d1bcfc3c54e0e44ea423ffd4ee81fe73670a2a
%ProgramFiles(x86)%\k-lite codec pack\info\system.exe
%ProgramFiles%\logwatnt\27d1bcfc3c54e0e44ea423ffd4ee81fe73670a2a
%ProgramFiles%\logwatnt\system.exe
%ProgramFiles(x86)%\reference assemblies\microsoft\framework\v3.5\redistlist\b75386f1303e64d8139363b71e44ac16341adf4e
%ProgramFiles(x86)%\reference assemblies\microsoft\framework\v3.5\redistlist\taskhost.exe
C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\559fba5f8e44108851927af432f0edac6117c574
C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\mdm.exe
%ProgramFiles%\guardgni\101b941d020240259ca4912829b53995ad543df6
%ProgramFiles%\guardgni\lsm.exe
C:\far2\fexcept\886983d96e3d3e31032c679b2d4ea91b6c05afef
C:\users\public\qz0k4fpxgw
C:\users\public\uj1j2zzpwn

Удаляет следующие файлы

C:\users\public\8bzgsrhwgl
C:\users\public\atd08pzfdw
C:\users\public\kun2avias0
C:\users\public\q2sotr3pdd
C:\users\public\klwf8770ij
C:\users\public\znhzxmfuxw
C:\users\public\up6i6pi2hn
C:\users\public\bu3aujgect
C:\users\public\z06ieae0yj
C:\users\public\vsbz3dkphb
C:\users\public\saoexcte9o
C:\users\public\ppnnsgsaxh
C:\users\public\jckzrttehq
C:\users\public\i16aazl2kc
C:\users\public\qz0k4fpxgw
C:\users\public\uj1j2zzpwn

Сетевая активность

Подключается к

'13#.#.117.140':80
'ip##fo.io':443

TCP

Запросы HTTP GET

http://13#.#.117.140/providerexternal.php?ge#####################################################################################################################################################...

'ip##fo.io':443

UDP

DNS ASK ip##fo.io

Другое

Создает и запускает на исполнение

'<SYSTEM32>\objsel\msiexec.exe'

Запускает на исполнение

'<SYSTEM32>\schtasks.exe' /create /tn "csrss" /sc ONLOGON /tr "'C:\Far2\FExcept\csrss.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "lsm" /sc ONLOGON /tr "'%ProgramFiles%\guardgni\lsm.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "mdm" /sc ONLOGON /tr "'C:\Recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\mdm.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "taskhost" /sc ONLOGON /tr "'%ProgramFiles(x86)%\Reference Assemblies\Microsoft\Framework\v3.5\RedistList\taskhost.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "System" /sc ONLOGON /tr "'%ProgramFiles%\LogWatNT\System.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "System" /sc ONLOGON /tr "'%ProgramFiles(x86)%\K-Lite Codec Pack\Info\System.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "msiexec" /sc ONLOGON /tr "'<SYSTEM32>\objsel\msiexec.exe'" /rl HIGHEST /f