Trojan.Siggen14.22260

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

Устанавливает следующие настройки сервисов

[<HKLM>\System\CurrentControlSet\Services\WinRing0_1_2_0] 'ImagePath' = '%APPDATA%\Microsoft\Libs\WR64.sys'

Создает следующие сервисы

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует запуск следующих системных утилит:

Внедряет код в

следующие системные процессы:

Читает файлы, отвечающие за хранение паролей сторонними программами

Изменения в файловой системе

Создает следующие файлы

%TEMP%\realtek driver.exe
%TEMP%\cqagc6owqq
%TEMP%\epemgb58gm
%TEMP%\kfe4bh1f83
%TEMP%\x6jpujhdpk
%TEMP%\xi0fpo76dq
%TEMP%\2xcb0rx1sn
%TEMP%\kvew09menq
%TEMP%\krk453gzkb
%TEMP%\vei5tzkuvb
%TEMP%\xcb7qbzkhd
%TEMP%\prb0w3w7cy
%TEMP%\dwghfsbufe
%TEMP%\j4mhcse5dh
%TEMP%\yna8gmli5m
<Текущая директория>\updater.exe
%APPDATA%\microsoft\libs\wr64.sys
%APPDATA%\microsoft\libs\sihost64.exe
<SYSTEM32>\wbem\wpcsprov\24dbde2999530ef5fd907494bc374d663924116c
<SYSTEM32>\wbem\wpcsprov\wmiprvse.exe
%ProgramFiles(x86)%\internet explorer\pdm\9db6e019d4f04ef534d0f91b3462d805c40e9d20
%ProgramFiles(x86)%\internet explorer\pdm\iexplore.exe
<SYSTEM32>\wbem\wbemcons\24dbde2999530ef5fd907494bc374d663924116c
<SYSTEM32>\wbem\wbemcons\wmiprvse.exe
%TEMP%\realtek au driver.exe
%TEMP%\synapse x.exe
%TEMP%\reviewwinhostreviewsavesdll.exe
%TEMP%\w9uuvujkkz
%TEMP%\w17kmhcgjt

Присваивает атрибут 'скрытый' для следующих файлов

Удаляет следующие файлы

Сетевая активность

Подключается к

TCP

Запросы HTTP GET

http://62.##9.26.20/searcherdemo/Python/rulerecordframescript/generatorscriptgenerator/rule/programDjangobinmessage/logPref/cutbootpool/Pref/CamAuto/rulephpgenerator/system/program/lowApiBigloa...

Другие

UDP

Другое

Создает и запускает на исполнение

'%TEMP%\realtek driver.exe'
'%TEMP%\reviewwinhostreviewsavesdll.exe'
'%TEMP%\synapse x.exe'
'%ProgramFiles(x86)%\internet explorer\pdm\iexplore.exe'
'%APPDATA%\microsoft\libs\sihost64.exe'
'%TEMP%\realtek au driver.exe'
'<SYSTEM32>\cmd.exe' /c schtasks /create /f /sc onlogon /rl highest /tn "Realtek AU Driver" /tr '"%TEMP%\Realtek AU Driver.exe"' & exit' (со скрытым окном)
'%ProgramFiles(x86)%\internet explorer\pdm\iexplore.exe' ' (со скрытым окном)
'%APPDATA%\microsoft\libs\sihost64.exe' ' (со скрытым окном)
'%TEMP%\realtek au driver.exe' ' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c schtasks /create /f /sc onlogon /rl highest /tn "Realtek AU Driver" /tr '"%TEMP%\Realtek AU Driver.exe"' & exit
'<SYSTEM32>\schtasks.exe' /create /f /sc onlogon /rl highest /tn "Realtek AU Driver" /tr '"%TEMP%\Realtek AU Driver.exe"'
'<SYSTEM32>\schtasks.exe' /create /tn "WmiPrvSE" /sc ONLOGON /tr "'<SYSTEM32>\wbem\wbemcons\WmiPrvSE.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "iexplore" /sc ONLOGON /tr "'%ProgramFiles(x86)%\Internet Explorer\pdm\iexplore.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "WmiPrvSE" /sc ONLOGON /tr "'<SYSTEM32>\wbem\wpcsprov\WmiPrvSE.exe'" /rl HIGHEST /f
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Get-MpPreference -verbose
'%WINDIR%\explorer.exe' --cinit-find-x -B --algo=rx/0 --asm=auto --cpu-memory-pool=1 --randomx-mode=auto --randomx-no-rdmsr --cuda-bfactor-hint=12 --cuda-bsleep-hint=100 --url=pool.hashvault.pro:80 --user=41hPqivbUt9...