Trojan.Siggen18.2368

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\RunOnce] 'GrpConv' = 'grpconv -o'

Устанавливает следующие настройки сервисов

[<HKLM>\System\CurrentControlSet\Services\wlg_Minispy] 'ImagePath' = 'system32\DRIVERS\wlg_minispy.sys'
[<HKLM>\System\CurrentControlSet\Services\wlg_keep_208] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\wlg_keep_208] 'ImagePath' = '%ProgramFiles(x86)%\ClientWlg\wlg_keep.exe'
[<HKLM>\System\CurrentControlSet\Services\WLGNetLimiter] 'ImagePath' = '<DRIVERS>\wlgnetflt.sys'
[<HKLM>\System\CurrentControlSet\Services\WPRO_41_1742] 'ImagePath' = 'system32\drivers\WPRO_41_1742.sys'

Создает следующие сервисы

'wlg_Minispy' system32\DRIVERS\wlg_minispy.sys
'wlg_keep_208' %ProgramFiles(x86)%\ClientWlg\wlg_keep.exe
'WLGNetLimiter' <DRIVERS>\wlgnetflt.sys
'WPRO_41_1742' system32\drivers\WPRO_41_1742.sys

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует:

Средство контроля пользовательских учетных записей (UAC)

Регистрирует фильтр файловой системы

[<HKLM>\System\CurrentControlSet\Services\wlg_Minispy] 'Group' = 'FSFilter Activity Monitor'

Изменения в файловой системе

Создает следующие файлы

%ProgramFiles(x86)%\clientwlg\tmp-1178259.zip
%ProgramFiles(x86)%\clientwlg\driver\netflt32.sys
%ProgramFiles(x86)%\clientwlg\driver\netflt64.sys
%ProgramFiles(x86)%\clientwlg\driver\wlgdrv_hook.sys
%ProgramFiles(x86)%\clientwlg\filter_64\wlg_minispy.cat
%ProgramFiles(x86)%\clientwlg\filter_64\wlg_minispy.inf
%ProgramFiles(x86)%\clientwlg\filter_64\wlg_minispy.sys
%ProgramFiles(x86)%\clientwlg\zlib.dll
%ProgramFiles(x86)%\clientwlg\gdiplus.dll
%ProgramFiles(x86)%\clientwlg\crashrpt.dll
%ProgramFiles(x86)%\clientwlg\spy9.map
%WINDIR%\syswow64\drivers\set398.tmp
%ProgramFiles(x86)%\clientwlg\history_data\skype_data.ini
%ProgramFiles(x86)%\clientwlg\contact.ini
%ProgramFiles(x86)%\clientwlg\tmp\q201312.dll
%ProgramFiles(x86)%\clientwlg\tmp\hideprocess32.dll
%ProgramFiles(x86)%\clientwlg\tmp\hideprocess64.dll
%ProgramFiles(x86)%\clientwlg\tmp\xmail32.dll
%ProgramFiles(x86)%\clientwlg\tmp\xmail64.dll
%ProgramFiles(x86)%\clientwlg\tmp\qdata.map
%WINDIR%\syswow64\drivers\wlgnetflt.sys
<DRIVERS>\wlgnetflt.sys
<DRIVERS>\wlg_minispy.sys
%WINDIR%\temp\udd482c.tmp
%WINDIR%\syswow64\wpro_41_1742woem.tmp
<DRIVERS>\wpro_41_1742.sys
%ProgramFiles(x86)%\clientwlg\filter_32\wlg_minispy.sys
%ProgramFiles(x86)%\clientwlg\title.map
%ProgramFiles(x86)%\clientwlg\filter_32\wlg_minispy.inf
%ProgramFiles(x86)%\clientwlg\wlg_keep.exe
%ProgramFiles(x86)%\clientwlg\wlgx.dll
%ProgramFiles(x86)%\clientwlg\packet.dll
%ProgramFiles(x86)%\clientwlg\exeproxy.exe
%ProgramFiles(x86)%\clientwlg\finclean.exe
%ProgramFiles(x86)%\clientwlg\msg.exe
%ProgramFiles(x86)%\clientwlg\arptable.exe
%ProgramFiles(x86)%\clientwlg\senddata.exe
%ProgramFiles(x86)%\clientwlg\winipcfg.exe
%ProgramFiles(x86)%\clientwlg\remoteserver.exe
%ProgramFiles(x86)%\clientwlg\pcidx.dll
%ProgramFiles(x86)%\clientwlg\wlgprocess.dll
%ProgramFiles(x86)%\clientwlg\gettempdll.dll
%ProgramFiles(x86)%\clientwlg\wlg_rcap.exe
%ProgramFiles(x86)%\clientwlg\dev_64.exe
%ProgramFiles(x86)%\clientwlg\dev_32.exe
%ProgramFiles(x86)%\clientwlg\valuation.exe
%ProgramFiles(x86)%\clientwlg\wlg_pj.exe
%ProgramFiles(x86)%\clientwlg\killmmc.exe
%ProgramFiles(x86)%\clientwlg\wlg_filemon32.exe
%ProgramFiles(x86)%\clientwlg\wlg_filemon64.exe
%ProgramFiles(x86)%\clientwlg\pic.dll
%ProgramFiles(x86)%\clientwlg\wlg_ctrl.exe
%ProgramFiles(x86)%\clientwlg\tmpdll.dat
%ProgramFiles(x86)%\clientwlg\wlgdev.exe
%ProgramFiles(x86)%\clientwlg\wlg_contact.exe
%ProgramFiles(x86)%\clientwlg\wlg_netmon.exe
global\wpro_41_1742_{6a52be73-ec8e-4f63-a268-7517a50dcb38}

Удаляет следующие файлы

%ProgramFiles(x86)%\clientwlg\tmp-1178259.zip
%ProgramFiles(x86)%\clientwlg\wlg_filemon32.exe
%WINDIR%\temp\udd482c.tmp
<DRIVERS>\wpro_41_1742.sys

Перемещает следующие файлы

%ProgramFiles(x86)%\clientwlg\wlg_filemon64.exe в %ProgramFiles(x86)%\clientwlg\wlg_filemon.exe
%WINDIR%\syswow64\drivers\set398.tmp в %WINDIR%\syswow64\drivers\wlg_minispy.sys

Изменяет следующие файлы

%LOCALAPPDATA%\microsoft\windows\explorer\explorerstartuplog_runonce.etl

Сетевая активность

UDP

'20#.#59.134.159':9939
'20#.#3.134.43':9939
'20#.#83.134.183':9939

Другое

Создает и запускает на исполнение

'%ProgramFiles(x86)%\clientwlg\wlg_contact.exe'
'%ProgramFiles(x86)%\clientwlg\wlgdev.exe' "[CMD=HIDEDIR][PARAM=%ProgramFiles(x86)%\ClientWlg]"
'%ProgramFiles(x86)%\clientwlg\wlg_keep.exe'
'%ProgramFiles(x86)%\clientwlg\dev_64.exe' 1 1 1 1
'%ProgramFiles(x86)%\clientwlg\exeproxy.exe' wlg_filemon.exe 0
'%ProgramFiles(x86)%\clientwlg\exeproxy.exe' wlg_netmon.exe 0
'%ProgramFiles(x86)%\clientwlg\wlg_filemon.exe'
'%ProgramFiles(x86)%\clientwlg\wlg_netmon.exe'
'%WINDIR%\syswow64\rundll32.exe' setupapi,InstallHinfSection DefaultInstall 132 .\filter_64\wlg_minispy.inf' (со скрытым окном)
'%ProgramFiles(x86)%\clientwlg\wlgdev.exe' "[CMD=HIDEDIR][PARAM=%ProgramFiles(x86)%\ClientWlg]"' (со скрытым окном)
'%ProgramFiles(x86)%\clientwlg\dev_64.exe' 1 1 1 1' (со скрытым окном)
'%ProgramFiles(x86)%\clientwlg\exeproxy.exe' wlg_filemon.exe 0' (со скрытым окном)
'%ProgramFiles(x86)%\clientwlg\exeproxy.exe' wlg_netmon.exe 0' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\rundll32.exe' setupapi,InstallHinfSection DefaultInstall 132 .\filter_64\wlg_minispy.inf
'%WINDIR%\syswow64\runonce.exe' -r
'%WINDIR%\syswow64\grpconv.exe' -o