Trojan.Siggen17.29416

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'dwm' = '"C:/Users/user/AppData/Local/\dwm.exe"'
[<HKLM>\Software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "C:/Users/user/AppData/Local/\dwm.exe"'
[<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'WUDFHost' = '"C:/Users/user/AppData/Local/\WUDFHost.exe"'
[<HKLM>\Software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "C:/Users/user/AppData/Local/\dwm.exe", "C:/Users/user/AppData/Local/\WUDFHost.exe"'
[<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'audiodg' = '"C:/Users/user/AppData/Local/\audiodg.exe"'
[<HKLM>\Software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "C:/Users/user/AppData/Local/\dwm.exe", "C:/Users/user/AppData/Local/\WUDFHost.exe", "C:/User...
[<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'winlogon' = '"C:/Users/user/AppData/Local/\winlogon.exe"'

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\v2w7dwm
<SYSTEM32>\tasks\n0hydwm
<SYSTEM32>\tasks\mqjndwm
<SYSTEM32>\tasks\dwm
<SYSTEM32>\tasks\vnwuwudfhost
<SYSTEM32>\tasks\ieoowudfhost
<SYSTEM32>\tasks\5z3hwudfhost
<SYSTEM32>\tasks\wudfhost
<SYSTEM32>\tasks\lmf1audiodg
<SYSTEM32>\tasks\b9cyaudiodg
<SYSTEM32>\tasks\lpmdaudiodg
<SYSTEM32>\tasks\audiodg
<SYSTEM32>\tasks\8gquwinlogon
<SYSTEM32>\tasks\tthcwinlogon
<SYSTEM32>\tasks\winlogon
<SYSTEM32>\tasks\buhrwinlogon

Вредоносные функции

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: 'OLLYDBG', WindowName: 'OllyDBg'

Изменения в файловой системе

Создает следующие файлы

%LOCALAPPDATA%\dwm.exe
%LOCALAPPDATA%\6cb0b6c459d5d3
%TEMP%\62f9c513af712958958b5d9ee810db8e27ea7ee44.5.289f70df22bba7466d5f4d90c7b0a626cc5a2cce3a
%LOCALAPPDATA%\wudfhost.exe
%LOCALAPPDATA%\480b7989c529f6
%LOCALAPPDATA%\audiodg.exe
%LOCALAPPDATA%\42af1c969fbb7b
%LOCALAPPDATA%\winlogon.exe
%LOCALAPPDATA%\cc11b995f2a76d

Сетевая активность

Подключается к

'78.##.218.129':80

TCP

Запросы HTTP GET

http://78.##.218.129/FlowerUpdateGeneratorTrack/DumpExternal/BetterMariadbdownloads/Windowsserverpoll/Default/ApigeneratorUniversal.php?QQ#######################################################...
http://78.##.218.129/FlowerUpdateGeneratorTrack/DumpExternal/BetterMariadbdownloads/Windowsserverpoll/Default/ApigeneratorUniversal.php?xp#######################################################...

Другое

Ищет следующие окна

ClassName: 'ID' WindowName: ''
ClassName: 'ObsidianGUI' WindowName: ''
ClassName: 'WinDbgFrameClass' WindowName: ''

Создает и запускает на исполнение

'%LOCALAPPDATA%\winlogon.exe'
'<Полный путь к файлу>' ' (со скрытым окном)
'%LOCALAPPDATA%\winlogon.exe' ' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\schtasks.exe' /create /tn "V2w7dwm" /sc MINUTE /mo 9 /tr "'C:/Users/user/AppData/Local/\dwm.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "N0HYdwm" /sc ONLOGON /tr "'C:/Users/user/AppData/Local/\dwm.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "MqJndwm" /sc ONSTART /tr "'C:/Users/user/AppData/Local/\dwm.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "dwm" /sc MINUTE /mo 6 /tr "'C:/Users/user/AppData/Local/\dwm.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "VNWUWUDFHost" /sc MINUTE /mo 13 /tr "'C:/Users/user/AppData/Local/\WUDFHost.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "iEOOWUDFHost" /sc ONLOGON /tr "'C:/Users/user/AppData/Local/\WUDFHost.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "5Z3HWUDFHost" /sc ONSTART /tr "'C:/Users/user/AppData/Local/\WUDFHost.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "WUDFHost" /sc MINUTE /mo 14 /tr "'C:/Users/user/AppData/Local/\WUDFHost.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "lMF1audiodg" /sc MINUTE /mo 11 /tr "'C:/Users/user/AppData/Local/\audiodg.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "b9cyaudiodg" /sc ONLOGON /tr "'C:/Users/user/AppData/Local/\audiodg.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "lPmDaudiodg" /sc ONSTART /tr "'C:/Users/user/AppData/Local/\audiodg.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "audiodg" /sc MINUTE /mo 10 /tr "'C:/Users/user/AppData/Local/\audiodg.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "8Gquwinlogon" /sc MINUTE /mo 14 /tr "'C:/Users/user/AppData/Local/\winlogon.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "tTHcwinlogon" /sc ONLOGON /tr "'C:/Users/user/AppData/Local/\winlogon.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "BUhRwinlogon" /sc ONSTART /tr "'C:/Users/user/AppData/Local/\winlogon.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "winlogon" /sc MINUTE /mo 10 /tr "'C:/Users/user/AppData/Local/\winlogon.exe'" /f