Trojan.Siggen17.10810

Добавлен в вирусную базу Dr.Web: 2022-02-22

Описание добавлено: 2022-03-28

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'smss' = '"<SYSTEM32>\bthpanapi\smss.exe"'
[<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'winlogon' = '"%ProgramFiles%\mva\winlogon.exe"'
[<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] '<Имя файла>' = '"C:\Far2\PluginSDK\Headers.pas\<Имя файла>.exe"'
[<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'iexplore' = '"C:\PerfLogs\Admin\iexplore.exe"'
[<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'System' = '"%ProgramFiles(x86)%\Opera\Assets\System.exe"'
[<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'firefox' = '"%ALLUSERSPROFILE%\Microsoft\IdentityCRL\firefox.exe"'
[<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'mdm' = '"%CommonProgramFiles(x86)%\microsoft shared\VS7Debug\coloader\mdm.exe"'

Создает или изменяет следующие файлы

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует:

Изменения в файловой системе

Создает следующие файлы

Присваивает атрибут 'скрытый' для следующих файлов

Перемещает следующие файлы

<Текущая директория>\rcx5448.tmp в <Полный путь к файлу>
<SYSTEM32>\bthpanapi\rcx567a.tmp в <SYSTEM32>\bthpanapi\smss.exe
<SYSTEM32>\bthpanapi\rcx5717.tmp в <SYSTEM32>\bthpanapi\smss.exe
%ProgramFiles%\mva\rcx59b7.tmp в %ProgramFiles%\mva\winlogon.exe
%ProgramFiles%\mva\rcx5a64.tmp в %ProgramFiles%\mva\winlogon.exe
C:\far2\pluginsdk\headers.pas\rcx5d04.tmp в C:\far2\pluginsdk\headers.pas\<Имя файла>.exe
C:\far2\pluginsdk\headers.pas\rcx5db0.tmp в C:\far2\pluginsdk\headers.pas\<Имя файла>.exe
C:\perflogs\admin\rcx6050.tmp в C:\perflogs\admin\iexplore.exe
C:\perflogs\admin\rcx60fd.tmp в C:\perflogs\admin\iexplore.exe
%ProgramFiles(x86)%\opera\assets\rcx63bc.tmp в %ProgramFiles(x86)%\opera\assets\system.exe
%ProgramFiles(x86)%\opera\assets\rcx6449.tmp в %ProgramFiles(x86)%\opera\assets\system.exe
%ALLUSERSPROFILE%\microsoft\identitycrl\rcx66f8.tmp в %ALLUSERSPROFILE%\microsoft\identitycrl\firefox.exe
%ALLUSERSPROFILE%\microsoft\identitycrl\rcx67a5.tmp в %ALLUSERSPROFILE%\microsoft\identitycrl\firefox.exe
%CommonProgramFiles(x86)%\microsoft shared\vs7debug\coloader\rcx6a45.tmp в %CommonProgramFiles(x86)%\microsoft shared\vs7debug\coloader\mdm.exe
%CommonProgramFiles(x86)%\microsoft shared\vs7debug\coloader\rcx6af1.tmp в %CommonProgramFiles(x86)%\microsoft shared\vs7debug\coloader\mdm.exe

Сетевая активность

Подключается к

TCP

Запросы HTTP GET

http://62.##9.17.127/jsServerdefaultsqlWindows.php?2b############################################################################################################################################...

Другие

UDP

Другое

Создает и запускает на исполнение

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '<Полный путь к файлу>'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '%ProgramFiles%\mva\winlogon.exe'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '%ProgramFiles(x86)%\Opera\Assets\System.exe'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '<SYSTEM32>\bthpanapi\smss.exe'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:\Far2\PluginSDK\Headers.pas\<Имя файла>.exe'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:\PerfLogs\Admin\iexplore.exe'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '%ALLUSERSPROFILE%\Microsoft\IdentityCRL\firefox.exe'
'<SYSTEM32>\bthpanapi\smss.exe'
'<SYSTEM32>\bthpanapi\smss.exe' ' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\schtasks.exe' /create /tn "smss" /sc ONLOGON /tr "'<SYSTEM32>\bthpanapi\smss.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "winlogon" /sc ONLOGON /tr "'%ProgramFiles%\mva\winlogon.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "<Имя файла>" /sc ONLOGON /tr "'C:\Far2\PluginSDK\Headers.pas\<Имя файла>.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "iexplore" /sc ONLOGON /tr "'C:\PerfLogs\Admin\iexplore.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "System" /sc ONLOGON /tr "'%ProgramFiles(x86)%\Opera\Assets\System.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "firefox" /sc ONLOGON /tr "'%ALLUSERSPROFILE%\Microsoft\IdentityCRL\firefox.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "mdm" /sc ONLOGON /tr "'%CommonProgramFiles(x86)%\microsoft shared\VS7Debug\coloader\mdm.exe'" /rl HIGHEST /f
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '%CommonProgramFiles(x86)%\microsoft shared\VS7Debug\coloader\mdm.exe'