Trojan.Siggen17.31075

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'lsass' = '"%WINDIR%\Temp\8147932992814195939363050711163993686\lsass.exe"'
[<HKLM>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "%WINDIR%\Temp\8147932992814195939363050711163993686\lsass.exe"'
[<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'firefox' = '"%ALLUSERSPROFILE%\Application Data\firefox.exe"'
[<HKLM>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "%WINDIR%\Temp\8147932992814195939363050711163993686\lsass.exe", "%ALLUSERSPROFILE%\Application Data\fire...
[<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'Idle' = '"<Текущая директория>\Idle.exe"'
[<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'Idle' = '"%ALLUSERSPROFILE%\Microsoft Help\Idle.exe"'
[<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'mdm' = '"<Текущая директория>\mdm.exe"'

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\4egdlsass
<SYSTEM32>\tasks\uttbidle
<SYSTEM32>\tasks\idle
<SYSTEM32>\tasks\ozewidle
<SYSTEM32>\tasks\lsrtmdm
<SYSTEM32>\tasks\d5geidle
<SYSTEM32>\tasks\midbmdm
<SYSTEM32>\tasks\8sngidle
<SYSTEM32>\tasks\fgy4mdm
<SYSTEM32>\tasks\m3mpidle
<SYSTEM32>\tasks\firefox
<SYSTEM32>\tasks\5sqofirefox
<SYSTEM32>\tasks\4wohlsass
<SYSTEM32>\tasks\lsass
<SYSTEM32>\tasks\vb9vfirefox
<SYSTEM32>\tasks\egmwfirefox
<SYSTEM32>\tasks\rixdlsass
<SYSTEM32>\tasks\oql3idle
<SYSTEM32>\tasks\mdm

Изменения в файловой системе

Создает следующие файлы

C:\savesintocrtsvc\u8p9gv4cugv7s8yc4t1qtsg.bat
C:\savesintocrtsvc\savesintocrtsvcrefsessionnet.exe
C:\savesintocrtsvc\9skz10fbhtkrcvei5th3jecwkjst.vbe
%WINDIR%\temp\8147932992814195939363050711163993686\lsass.exe
%WINDIR%\temp\8147932992814195939363050711163993686\6203df4a6bafc7
%ALLUSERSPROFILE%\application data\firefox.exe
%ALLUSERSPROFILE%\application data\0fc223bdacedc3
<Текущая директория>\idle.exe
<Текущая директория>\6ccacd8608530f
%ALLUSERSPROFILE%\microsoft help\idle.exe
%ALLUSERSPROFILE%\microsoft help\6ccacd8608530f
<Текущая директория>\mdm.exe
<Текущая директория>\559fba5f8e4410

Сетевая активность

Подключается к

'62.##9.9.170':80

TCP

Запросы HTTP GET

http://62.##9.9.170/pythonlowDefault.php?ZR######################################################################################################################################################...
http://62.##9.9.170/pythonlowDefault.php?9A######################################################################################################################################################...

Другое

Ищет следующие окна

ClassName: 'EDIT' WindowName: ''

Создает и запускает на исполнение

'%WINDIR%\syswow64\wscript.exe' "C:\SavesintocrtSvc\9sKZ10FbHTKRCvEi5Th3JEcwKJsT.vbe"
'C:\savesintocrtsvc\savesintocrtsvcrefsessionnet.exe'
'%ALLUSERSPROFILE%\application data\firefox.exe'
'%WINDIR%\syswow64\cmd.exe' /c ""C:\SavesintocrtSvc\u8P9Gv4cuGV7S8Yc4t1qTSG.bat" "' (со скрытым окном)
'%ALLUSERSPROFILE%\application data\firefox.exe' ' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c ""C:\SavesintocrtSvc\u8P9Gv4cuGV7S8Yc4t1qTSG.bat" "
'<SYSTEM32>\schtasks.exe' /create /tn "MIDbmdm" /sc ONLOGON /tr "'<Текущая директория>\mdm.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "LSrTmdm" /sc MINUTE /mo 12 /tr "'<Текущая директория>\mdm.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "Idle" /sc MINUTE /mo 12 /tr "'%ALLUSERSPROFILE%\Microsoft Help\Idle.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "ozewIdle" /sc ONSTART /tr "'%ALLUSERSPROFILE%\Microsoft Help\Idle.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "d5gEIdle" /sc ONLOGON /tr "'%ALLUSERSPROFILE%\Microsoft Help\Idle.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "utTBIdle" /sc MINUTE /mo 8 /tr "'%ALLUSERSPROFILE%\Microsoft Help\Idle.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "Idle" /sc MINUTE /mo 14 /tr "'<Текущая директория>\Idle.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "8SnGIdle" /sc ONSTART /tr "'<Текущая директория>\Idle.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "fGy4mdm" /sc ONSTART /tr "'<Текущая директория>\mdm.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "OQl3Idle" /sc ONLOGON /tr "'<Текущая директория>\Idle.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "firefox" /sc MINUTE /mo 9 /tr "'%ALLUSERSPROFILE%\Application Data\firefox.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "5SQofirefox" /sc ONSTART /tr "'%ALLUSERSPROFILE%\Application Data\firefox.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "VB9Vfirefox" /sc ONLOGON /tr "'%ALLUSERSPROFILE%\Application Data\firefox.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "EgmWfirefox" /sc MINUTE /mo 13 /tr "'%ALLUSERSPROFILE%\Application Data\firefox.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "lsass" /sc MINUTE /mo 14 /tr "'%WINDIR%\Temp\8147932992814195939363050711163993686\lsass.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "4wOhlsass" /sc ONSTART /tr "'%WINDIR%\Temp\8147932992814195939363050711163993686\lsass.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "4egdlsass" /sc ONLOGON /tr "'%WINDIR%\Temp\8147932992814195939363050711163993686\lsass.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "rixdlsass" /sc MINUTE /mo 12 /tr "'%WINDIR%\Temp\8147932992814195939363050711163993686\lsass.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "M3mpIdle" /sc MINUTE /mo 10 /tr "'<Текущая директория>\Idle.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "mdm" /sc MINUTE /mo 13 /tr "'<Текущая директория>\mdm.exe'" /f