Trojan.Siggen17.59342

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\windowsgoogleupdates
<SYSTEM32>\tasks\bios security and communication service
<SYSTEM32>\tasks\windows defender advanced threat protection service
<SYSTEM32>\tasks\windows firewall engine

Устанавливает следующие настройки сервисов

[<HKLM>\SYSTEM\CurrentControlSet\Services\SecureBios\Parameters] 'ServiceDll' = '%WINDIR%\SysWOW64\SecureBoiSysprep.dll'
[<HKLM>\SYSTEM\CurrentControlSet\Services\SecureBios] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\SecureBios] 'ImagePath' = '%WINDIR%\SysWOW64\svchost.exe -k CoreSecSvcs'

Создает следующие сервисы

'SecureBios' %WINDIR%\SysWOW64\svchost.exe -k CoreSecSvcs

Вредоносные функции

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: 'OLLYDBG', WindowName: 'OllyDBg'

Изменения в файловой системе

Создает следующие файлы

<PATH_SAMPLE>.dat
%TEMP%\jcjuemsbe\gameoverlayui.exe
%TEMP%\jcjuemsbe\tier0_s.dll
%TEMP%\jcjuemsbe\c1yhaztdreu.dll
%LOCALAPPDATA%\ticndggg\owcrclient.exe
%LOCALAPPDATA%\ticndggg\lib_owcr.dll
%TEMP%\jcjuemsbe\wtps6z1nuz.dll
nul
%LOCALAPPDATA%\ticndggg\byrvllpn8yw6.dll
%LOCALAPPDATA%\eikkllil\owcrclient.exe
%TEMP%\jcjuemsbe\puoucz9ny.dll
%WINDIR%\syswow64\secureboisysprep.dll
%LOCALAPPDATA%\kioibnjm\owcrclient.exe
%WINDIR%\syswow64\assemblysoftwaremsvcp.dll
%LOCALAPPDATA%\ticndggg\edzwx5iryoz.dll
%TEMP%\restawindows.bat

Присваивает атрибут 'скрытый' для следующих файлов

<PATH_SAMPLE>.dat

Удаляет следующие файлы

<PATH_SAMPLE>.dat
%TEMP%\jcjuemsbe\c1yhaztdreu.dll
%TEMP%\jcjuemsbe\wtps6z1nuz.dll
%LOCALAPPDATA%\ticndggg\byrvllpn8yw6.dll
<SYSTEM32>\tasks\windowsgoogleupdates
%TEMP%\jcjuemsbe\puoucz9ny.dll
%WINDIR%\syswow64\assemblysoftwaremsvcp.dll
%LOCALAPPDATA%\ticndggg\edzwx5iryoz.dll
<SYSTEM32>\tasks\bios security and communication service
<SYSTEM32>\tasks\windows defender advanced threat protection service
<SYSTEM32>\tasks\windows firewall engine

Сетевая активность

Подключается к

'pa###bin.com':443
'18#.#18.4.153':87
'ns#.#nspod.net':6666

TCP

Запросы HTTP GET

http://18#.##8.4.153:87/deEnc.zip via 18#.#18.4.153

Другие

'pa###bin.com':443
'ns#.#nspod.net':6666

UDP

DNS ASK pa###bin.com
DNS ASK ns#.#nspod.net

Другое

Ищет следующие окна

ClassName: 'WinDbgFrameClass' WindowName: ''
ClassName: 'ObsidianGUI' WindowName: ''
ClassName: 'ID' WindowName: ''

Создает и запускает на исполнение

'<PATH_SAMPLE>.dat'
'%TEMP%\jcjuemsbe\gameoverlayui.exe'
'%LOCALAPPDATA%\ticndggg\owcrclient.exe'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' New-Item HKLM:SYSTEM\CurrentControlSet\Services\SecureBios ;New-Item HKLM:SYSTEM\CurrentControlSet\Services\SecureBios\Parameters; Set-ItemProperty HKLM:SYSTEM\CurrentControlSet\Services\Secure...' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' New-Item HKLM:SYSTEM\CurrentControlSet\Services\SecureBios ;New-Item HKLM:SYSTEM\CurrentControlSet\Services\SecureBios\Parameters; Set-ItemProperty HKLM:SYSTEM\CurrentControlSet\Services\Secure...
'%WINDIR%\syswow64\cmd.exe' ping -n 10 127.0.0.1 >nul & rmdir /Q /S "%LOCALAPPDATA%\KiOIbNJm\" & exit
'%WINDIR%\syswow64\ping.exe' -n 60 127.0.0.1
'%WINDIR%\syswow64\ping.exe' -n 90 127.0.0.1
'%WINDIR%\syswow64\cmd.exe' ping -n 10 127.0.0.1 >nul & rmdir /Q /S "%LOCALAPPDATA%\eiKkLLIL\" & exit
'%WINDIR%\syswow64\cmd.exe' ping -n 60 127.0.0.1 >nul & del "%TEMP%\JCjuemSbe\PuoUcZ9NY.dll" /f & exit
'%WINDIR%\syswow64\cmd.exe' ping -n 90 127.0.0.1 >nul & del "%TEMP%\JCjuemSbe\GameOverlayUI.exe" /f & exit
'%WINDIR%\syswow64\cmd.exe' ping -n 30 127.0.0.1 >nul & rmdir /Q /S "%LOCALAPPDATA%\bililive\" & exit
'%WINDIR%\syswow64\cmd.exe' ping -n 600 127.0.0.1 >nul & del "%LOCALAPPDATA%\TiCndGGG\edZWX5iRYOZ.dll" /f & exit
'%WINDIR%\syswow64\cmd.exe' ping -n 600 127.0.0.1 >nul & del "%TEMP%\JCjuemSbe\PuoUcZ9NY.dll" /f & exit
'%WINDIR%\syswow64\cmd.exe' ping -n 600 127.0.0.1 >nul & del "%LOCALAPPDATA%\TiCndGGG\BYrVLlpn8YW6.dll" /f & exit
'%WINDIR%\syswow64\cmd.exe' ping -n 600 127.0.0.1 >nul & rmdir /Q /S "%LOCALAPPDATA%\KiOIbNJm\" & exit
'%WINDIR%\syswow64\svchost.exe' -k CoreSecSvcs
'%WINDIR%\syswow64\cmd.exe' ping -n 600 127.0.0.1 >nul & del "%TEMP%\JCjuemSbe\WTPs6Z1nUZ.dll" /f & exit
'%WINDIR%\syswow64\cmd.exe' ping -n 600 127.0.0.1 >nul & rmdir /Q /S "%LOCALAPPDATA%\eiKkLLIL\" & exit
'%WINDIR%\syswow64\ping.exe' -n 600 127.0.0.1
'%WINDIR%\syswow64\cmd.exe' ping -n 600 127.0.0.1 >nul & rmdir /Q /S "%LOCALAPPDATA%\TiCndGGG\" & exit
'%WINDIR%\syswow64\cmd.exe' ping -n 600 127.0.0.1 >nul & del "%TEMP%\JCjuemSbe\c1yHaZtDReU.dll" /f & exit
'%WINDIR%\syswow64\ping.exe' -n 30 127.0.0.1
'%WINDIR%\syswow64\cmd.exe' ping -n 10 127.0.0.1 >nul & rmdir /Q /S "%LOCALAPPDATA%\TiCndGGG\" & exit