Trojan.Siggen14.3962

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] '4Q63O8u25b0994197c3l05Qab' = '%WINDIR%\Resources\Themes\bus2ap0FCi9c\svchost.exe'

Создает или изменяет следующие файлы

%APPDATA%\microsoft\windows\start menu\programs\startup\4q63o8u25b0994197c3l05qab.exe

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует запуск следующих системных утилит:

Системный антивирус (Защитник Windows)

блокирует:

Средство контроля пользовательских учетных записей (UAC)

добавляет исключения антивируса с помощью следующих ключей реестра::

[<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows Defender\Exclusions\Paths] '<Полный путь к файлу>' = '00000000'
[<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows Defender\Exclusions\Paths] '%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\4Q63O8u25b0994197c3l05Qab.exe' = '00000000'
[<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows Defender\Exclusions\Paths] '%WINDIR%\Resources\Themes\bus2ap0FCi9c\svchost.exe' = '00000000'

Внедряет код в

следующие системные процессы:

%WINDIR%\microsoft.net\framework\v4.0.30319\applaunch.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\9d569d29-2646-4c87-823e-263ba48bdc9e\advancedrun.exe
%TEMP%\9d569d29-2646-4c87-823e-263ba48bdc9e\test.bat
%TEMP%\8f11a175-e4d2-4501-a78d-ecdeb5d08e59\advancedrun.exe
%TEMP%\8f11a175-e4d2-4501-a78d-ecdeb5d08e59\test.bat
%WINDIR%\resources\themes\bus2ap0fci9c\svchost.exe

Удаляет следующие файлы

%TEMP%\9d569d29-2646-4c87-823e-263ba48bdc9e\advancedrun.exe
%TEMP%\9d569d29-2646-4c87-823e-263ba48bdc9e\test.bat
%TEMP%\8f11a175-e4d2-4501-a78d-ecdeb5d08e59\advancedrun.exe
%TEMP%\8f11a175-e4d2-4501-a78d-ecdeb5d08e59\test.bat

Сетевая активность

UDP

DNS ASK do#####chme.duckdns.org

Другое

Создает и запускает на исполнение

'%TEMP%\9d569d29-2646-4c87-823e-263ba48bdc9e\advancedrun.exe' /EXEFilename "%TEMP%\9d569d29-2646-4c87-823e-263ba48bdc9e\test.bat" /WindowState ""0"" /PriorityClass ""32"" /CommandLine "" /StartDirectory "" /RunAs 8 /Run
'%TEMP%\9d569d29-2646-4c87-823e-263ba48bdc9e\advancedrun.exe' /SpecialRun 4101d8 1132
'%APPDATA%\microsoft\windows\start menu\programs\startup\4q63o8u25b0994197c3l05qab.exe'
'%TEMP%\8f11a175-e4d2-4501-a78d-ecdeb5d08e59\advancedrun.exe' /EXEFilename "%TEMP%\8f11a175-e4d2-4501-a78d-ecdeb5d08e59\test.bat" /WindowState ""0"" /PriorityClass ""32"" /CommandLine "" /StartDirectory "" /RunAs 8 /Run
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%WINDIR%\Resources\Themes\bus2ap0FCi9c\svchost.exe" -Force
'%TEMP%\8f11a175-e4d2-4501-a78d-ecdeb5d08e59\advancedrun.exe' /SpecialRun 4101d8 2200
'%TEMP%\9d569d29-2646-4c87-823e-263ba48bdc9e\advancedrun.exe' /EXEFilename "%TEMP%\9d569d29-2646-4c87-823e-263ba48bdc9e\test.bat" /WindowState ""0"" /PriorityClass ""32"" /CommandLine "" /StartDirectory "" /RunAs 8 /Run' (со скрытым окном)
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "<Полный путь к файлу>" -Force' (со скрытым окном)
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\4Q63O8u25b0994197c3l05Qab.exe" -Force' (со скрытым окном)
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%WINDIR%\Resources\Themes\bus2ap0FCi9c\svchost.exe" -Force' (со скрытым окном)
'%TEMP%\8f11a175-e4d2-4501-a78d-ecdeb5d08e59\advancedrun.exe' /EXEFilename "%TEMP%\8f11a175-e4d2-4501-a78d-ecdeb5d08e59\test.bat" /WindowState ""0"" /PriorityClass ""32"" /CommandLine "" /StartDirectory "" /RunAs 8 /Run' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c timeout 1' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "<Полный путь к файлу>" -Force
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\4Q63O8u25b0994197c3l05Qab.exe" -Force
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%WINDIR%\Resources\Themes\bus2ap0FCi9c\svchost.exe" -Force
'%WINDIR%\syswow64\cmd.exe' /c timeout 1
'%WINDIR%\syswow64\timeout.exe' 1
'%WINDIR%\microsoft.net\framework\v4.0.30319\applaunch.exe'