Trojan.Siggen15.13021

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'iexplore' = '"<Текущая директория>\iexplore.exe"'
[<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'GHack' = '"%TEMP%\Microsoft .NET Framework 4.7.1 Setup_20200610_200621826-MSI_netfx_Full_x64.msi\GHack.exe"'
[<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'System' = '"C:\Recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\System.exe"'
[<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'explorer' = '"C:\PerfLogs\Admin\explorer.exe"'
[<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'firefox' = '"%ProgramFiles(x86)%\Mozilla Firefox\crashreporter\firefox.exe"'
[<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'iexplore' = '"%ProgramFiles(x86)%\Internet Explorer\jsdebuggeride\iexplore.exe"'
[<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'explorer' = '"C:\Far2\Plugins\Network\explorer.exe"'
[<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'G-Hack' = '"%TEMP%\Microsoft .NET Framework 4.7.1 Setup_20200610_195959602\G-Hack.exe"'

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\iexplore
<SYSTEM32>\tasks\ghack
<SYSTEM32>\tasks\system
<SYSTEM32>\tasks\explorer
<SYSTEM32>\tasks\firefox
<SYSTEM32>\tasks\g-hack

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\autorun.inf

Вредоносные функции

Читает файлы, отвечающие за хранение паролей сторонними программами

%HOMEPATH%\desktop\cveuropeo.doc
%HOMEPATH%\desktop\file_p_00000000_1371597592.docx
%HOMEPATH%\desktop\holycrosschurchinstructions.docx
%HOMEPATH%\desktop\nwfieldnotes1966.docx
%LOCALAPPDATA%\google\chrome\user data\default\cookies
%LOCALAPPDATA%\google\chrome\user data\default\login data
%APPDATA%\opera software\opera stable\login data
%LOCALAPPDATA%\google\chrome\user data\default\web data

Изменения в файловой системе

Создает следующие файлы

%TEMP%\g-hack.exe
%TEMP%\yjyim7wr5g
%TEMP%\wzy9mjwba9
%TEMP%\vsfkcy3brr
%TEMP%\uf3masa9ql
%TEMP%\gdkvq5uiwj
%TEMP%\gbwdxwowb1
C:\perflogs\admin\7a0fd90576e08807bde2cc57bcf9854bbce05fe3
%TEMP%\ksjvb3ucde
%TEMP%\f957le6cid
%TEMP%\lzw0khwjgc
%TEMP%\yoysijfmm8
%TEMP%\p176olxlkg
%TEMP%\6r4j3fs01m
%TEMP%\gcpqv1kmyc
nul
%TEMP%\4i1kjmiszv
%TEMP%\c9v213ic0b.bat
%TEMP%\ah8rjaoya1
%TEMP%\microsoft .net framework 4.7.1 setup_20200610_195959602\97a4c1e07643e13b4604b27f41ee048c42576db8
<Текущая директория>\iexplore.exe
<Текущая директория>\9db6e019d4f04ef534d0f91b3462d805c40e9d20
%TEMP%\microsoft .net framework 4.7.1 setup_20200610_200621826-msi_netfx_full_x64.msi\ghack.exe
%TEMP%\microsoft .net framework 4.7.1 setup_20200610_200621826-msi_netfx_full_x64.msi\1d6f063b447cc217b1a15fbba65792d2b0011ad0
C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\system.exe
C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\27d1bcfc3c54e0e44ea423ffd4ee81fe73670a2a
%TEMP%\zuqjotcamj
%TEMP%\5orcjclwju
C:\perflogs\admin\explorer.exe
%ProgramFiles(x86)%\mozilla firefox\crashreporter\0fc223bdacedc38dd6d2772d547ade1563558e92
%ProgramFiles(x86)%\internet explorer\jsdebuggeride\iexplore.exe
%ProgramFiles(x86)%\internet explorer\jsdebuggeride\9db6e019d4f04ef534d0f91b3462d805c40e9d20
C:\far2\plugins\network\explorer.exe
C:\far2\plugins\network\7a0fd90576e08807bde2cc57bcf9854bbce05fe3
%TEMP%\microsoft .net framework 4.7.1 setup_20200610_195959602\g-hack.exe
%TEMP%\ghack.exe
%ProgramFiles(x86)%\mozilla firefox\crashreporter\firefox.exe
%TEMP%\tu8aghtyyc

Удаляет следующие файлы

%TEMP%\ah8rjaoya1
%TEMP%\gcpqv1kmyc
%TEMP%\6r4j3fs01m
%TEMP%\p176olxlkg
%TEMP%\yoysijfmm8
%TEMP%\lzw0khwjgc
%TEMP%\f957le6cid
%TEMP%\5orcjclwju
%TEMP%\ksjvb3ucde
%TEMP%\gbwdxwowb1
%TEMP%\gdkvq5uiwj
%TEMP%\uf3masa9ql
%TEMP%\vsfkcy3brr
%TEMP%\wzy9mjwba9
%TEMP%\yjyim7wr5g
%TEMP%\4i1kjmiszv
%TEMP%\zuqjotcamj
%TEMP%\tu8aghtyyc

Сетевая активность

Подключается к

'62.##9.16.85':80

TCP

Запросы HTTP GET

http://62.##9.16.85/ServersystemframeAuto/supportServerphp/polllowapi/987619928d0e899289990240bc0e41e5a0181024.bin
http://62.##9.16.85/ServersystemframeAuto/supportServerphp/polllowapi/d882eefd578a64efaf5167a8479f85a6d9782f3d.bin
http://62.##9.16.85/ServersystemframeAuto/supportServerphp/Providerpythonlowlongpollbase.php?AS##################################################################################################...

UDP

'localhost':123

Другое

Создает и запускает на исполнение

'%TEMP%\g-hack.exe'
'%TEMP%\ghack.exe'
'%ProgramFiles(x86)%\internet explorer\jsdebuggeride\iexplore.exe'
'<SYSTEM32>\cmd.exe' /C "%TEMP%\C9V213IC0b.bat"' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\schtasks.exe' /create /tn "iexplore" /sc ONLOGON /tr "'<Текущая директория>\iexplore.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "GHack" /sc ONLOGON /tr "'%TEMP%\Microsoft .NET Framework 4.7.1 Setup_20200610_200621826-MSI_netfx_Full_x64.msi\GHack.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "System" /sc ONLOGON /tr "'C:\Recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\System.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "explorer" /sc ONLOGON /tr "'C:\PerfLogs\Admin\explorer.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "firefox" /sc ONLOGON /tr "'%ProgramFiles(x86)%\Mozilla Firefox\crashreporter\firefox.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "iexplore" /sc ONLOGON /tr "'%ProgramFiles(x86)%\Internet Explorer\jsdebuggeride\iexplore.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "explorer" /sc ONLOGON /tr "'C:\Far2\Plugins\Network\explorer.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "G-Hack" /sc ONLOGON /tr "'%TEMP%\Microsoft .NET Framework 4.7.1 Setup_20200610_195959602\G-Hack.exe'" /rl HIGHEST /f
'<SYSTEM32>\cmd.exe' /C "%TEMP%\C9V213IC0b.bat"
'<SYSTEM32>\chcp.com' 65001
'<SYSTEM32>\w32tm.exe' /stripchart /computer:localhost /period:5 /dataonly /samples:2