Trojan.Siggen13.54587

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[<HKLM>\System\CurrentControlSet\Services\OpenVPNServiceInteractive] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\OpenVPNServiceInteractive] 'ImagePath' = '"%ProgramFiles%\OpenVPN\bin\openvpnserv.exe"'
[<HKLM>\System\CurrentControlSet\Services\OpenVPNServiceLegacy] 'ImagePath' = '"%ProgramFiles%\OpenVPN\bin\openvpnserv.exe"'
[<HKLM>\System\CurrentControlSet\Services\OpenVPNService] 'ImagePath' = '"%ProgramFiles%\OpenVPN\bin\openvpnserv2.exe"'

Создает следующие сервисы

'OpenVPNServiceInteractive' "%ProgramFiles%\OpenVPN\bin\openvpnserv.exe"
'OpenVPNServiceInteractive' %ProgramFiles%\OpenVPN\bin\openvpnserv.exe
'OpenVPNServiceLegacy' "%ProgramFiles%\OpenVPN\bin\openvpnserv.exe"
'OpenVPNService' "%ProgramFiles%\OpenVPN\bin\openvpnserv2.exe"
'OpenVPNService' %ProgramFiles%\OpenVPN\bin\openvpnserv2.exe

Изменения в файловой системе

Создает следующие файлы

C:\temp\luisvpnwin78\config\ca.crt
%TEMP%\nsxeb79.tmp\nsexec.dll
%TEMP%\nsrff26.tmp
%TEMP%\nshff37.tmp\system.dll
%TEMP%\nshff37.tmp\userinfo.dll
%ProgramFiles%\tap-windows\bin\tapinstall.exe
%ProgramFiles%\tap-windows\driver\oemvista.inf
%ProgramFiles%\tap-windows\driver\tap0901.cat
%ProgramFiles%\tap-windows\driver\tap0901.sys
%ProgramFiles%\tap-windows\bin\addtap.bat
%ProgramFiles%\tap-windows\bin\deltapall.bat
%ProgramFiles%\openvpn\bin\openvpn.exe
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\tap-windows\utilities\add a new tap virtual ethernet adapter.lnk
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\tap-windows\utilities\delete all tap virtual ethernet adapters.lnk
%ProgramFiles%\tap-windows\license.txt
%ProgramFiles%\tap-windows\icon.ico
%TEMP%\nshff37.tmp\nsexec.dll
%TEMP%\{7742f842-f81a-55dc-b927-282011fbaa1d}\set5254.tmp
%TEMP%\{7742f842-f81a-55dc-b927-282011fbaa1d}\set532f.tmp
%TEMP%\{7742f842-f81a-55dc-b927-282011fbaa1d}\set5514.tmp
%HOMEPATH%\openvpn\config\ca.crt
%HOMEPATH%\openvpn\config\luis.ovpn
%HOMEPATH%\openvpn\config\luisuser.crt
%ProgramFiles%\openvpn\bin\openvpnserv2.exe
%TEMP%\tap-windows.exe
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\openvpn\shortcuts\openvpn configuration file directory.lnk
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\openvpn\shortcuts\openvpn log file directory.lnk
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\openvpn\shortcuts\openvpn sample configuration files.lnk
C:\temp\luisvpnwin78\config\luisuser.key
C:\temp\luisvpnwin78\config\ta.key
C:\temp\luisvpnwin78\install.bat
C:\temp\luisvpnwin78\config\luis.ovpn
C:\temp\luisvpnwin78\luisvpn.exe
C:\temp\luisvpnwin78\openvpn-install-2.4.8-i602-win7.exe
%TEMP%\nsreb58.tmp
%TEMP%\nsxeb79.tmp\system.dll
%TEMP%\nsxeb79.tmp\userinfo.dll
%TEMP%\nsxeb79.tmp\simplesc.dll
%HOMEPATH%\openvpn\config\luisuser.key
%TEMP%\nshff37.tmp\shelllink.dll
%TEMP%\nsxeb79.tmp\nsprocess.dll
%ProgramFiles%\openvpn\doc\openvpn.8.html
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\openvpn\documentation\openvpn manual page.lnk
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\openvpn\documentation\openvpn windows notes.lnk
%ProgramFiles%\openvpn\bin\openvpnserv.exe
%ProgramFiles%\openvpn\config\readme.txt
%ProgramFiles%\openvpn\sample-config\sample.ovpn
%ProgramFiles%\openvpn\sample-config\client.ovpn
%ProgramFiles%\openvpn\sample-config\server.ovpn
%ProgramFiles%\openvpn\log\readme.txt
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\openvpn\utilities\generate a static openvpn key.lnk
C:\temp\luisvpnwin78\config\luisuser.crt
%ProgramFiles%\openvpn\doc\install-win32.txt
%HOMEPATH%\openvpn\config\ta.key

Перемещает следующие файлы

%TEMP%\{7742f842-f81a-55dc-b927-282011fbaa1d}\set5254.tmp в %TEMP%\{7742f842-f81a-55dc-b927-282011fbaa1d}\oemvista.inf
%TEMP%\{7742f842-f81a-55dc-b927-282011fbaa1d}\set532f.tmp в %TEMP%\{7742f842-f81a-55dc-b927-282011fbaa1d}\tap0901.cat
%TEMP%\{7742f842-f81a-55dc-b927-282011fbaa1d}\set5514.tmp в %TEMP%\{7742f842-f81a-55dc-b927-282011fbaa1d}\tap0901.sys

Сетевая активность

Подключается к

'microsoft.com':80

UDP

DNS ASK microsoft.com

Другое

Ищет следующие окна

ClassName: 'OpenVPN-GUI' WindowName: ''

Создает и запускает на исполнение

'C:\temp\luisvpnwin78\openvpn-install-2.4.8-i602-win7.exe' /S /D=%ProgramFiles%\OpenVPN
'%TEMP%\tap-windows.exe' /S /SELECT_UTILITIES=1
'%ProgramFiles%\tap-windows\bin\tapinstall.exe' hwids tap0901
'%ProgramFiles%\tap-windows\bin\tapinstall.exe' install "%ProgramFiles%\TAP-Windows\driver\OemVista.inf" tap0901
'%TEMP%\tap-windows.exe' /S /SELECT_UTILITIES=1' (со скрытым окном)
'%ProgramFiles%\tap-windows\bin\tapinstall.exe' hwids tap0901' (со скрытым окном)
'%ProgramFiles%\tap-windows\bin\tapinstall.exe' install "%ProgramFiles%\TAP-Windows\driver\OemVista.inf" tap0901' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c ""C:\Temp\LuisVPNwin78\Install.bat" "
'%WINDIR%\syswow64\timeout.exe' /T 25 /NOBREAK
'%WINDIR%\syswow64\timeout.exe' /T 3 /NOBREAK
'<SYSTEM32>\rundll32.exe' <SYSTEM32>\pnpui.dll,InstallSecurityPromptRunDllW 20 Global\{090ed77c-0a67-0dc6-7983-415a820a0973} Global\{177151a7-cd57-72ed-a67f-fc7e02bdc876} <DRIVERSTORE>\Temp\{1c76d3ea-0a6b-2cdc-d558-f475...