Trojan.Siggen18.2301

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[<HKLM>\System\CurrentControlSet\Services\ComputerZ_x64] 'ImagePath' = '%TEMP%\360DrvMgr\ComputerZ_x64.sys'

Создает следующие сервисы

'ComputerZ_x64' %TEMP%\360DrvMgr\ComputerZ_x64.sys

Изменения в файловой системе

Создает следующие файлы

%TEMP%\aut2903.tmp
%TEMP%\360drvmgr\datamgr.dll
%TEMP%\360drvmgr\difxapi_x86.dll
%TEMP%\360drvmgr\downloadmgr.dll
%TEMP%\360drvmgr\drvinst64.exe
%TEMP%\360drvmgr\drvmgrcore.dll
%TEMP%\360drvmgr\drvmgrui.dll
%TEMP%\360drvmgr\dynlenv.dll
%TEMP%\360drvmgr\liveupd360.dll
%TEMP%\360drvmgr\miniui.dll
%TEMP%\360drvmgr\360common.dll
%TEMP%\360drvmgr\pdown.dll
%TEMP%\360drvmgr\scriptexecute.exe
%TEMP%\360drvmgr\signhelper.dll
%TEMP%\360drvmgr\sqlite3.dll
%APPDATA%\360drvmgr\360drvmgr_20220607.dat
%TEMP%\360drvmgr\computerz.set
%APPDATA%\lds\lds.set
%TEMP%\360drvmgr\log\computerz_hardwaredll.log
%TEMP%\360drvmgr\computerz.dat
%WINDIR%\temp\udd7a9b.tmp
%TEMP%\360drvmgr\computerz_hardwaredll.dll
%TEMP%\360drvmgr\computerz_x64.sys
%TEMP%\360drvmgr\computerzservice.exe
%TEMP%\360drvmgr\computerz5.dll
%TEMP%\360drvmgr\computerz2.dll
%TEMP%\aut2980.tmp
%TEMP%\360drv.7z
%TEMP%\aut2c5f.tmp
%APPDATA%\360drvmgr\config.ini
%TEMP%\360drvmgr\360libdrvmgr.dat
%TEMP%\360drvmgr\cacert.dat
%TEMP%\360drvmgr\config\config.xml
%TEMP%\360drvmgr\config\defaultskin\defaultskin.ui
%TEMP%\360drvmgr\config\defaultskin\miniui.xml
%APPDATA%\microsoft\crypto\rsa\s-1-5-21-1960123792-2022915161-3775307078-1001\c6d010e82392216311e3dad96d6d8568_36d1130a-ac2e-44f7-9dc1-e424fbcbe0ee
%TEMP%\360drvmgr\safelive.dll
%TEMP%\360drvmgr\360base.dll
%TEMP%\360drvmgr\360net.dll
%TEMP%\360drvmgr\360netbase.dll
%TEMP%\360drvmgr\360netul.dll
%TEMP%\360drvmgr\360p2sp.dll
%TEMP%\360drvmgr\7za.dll
%TEMP%\360drvmgr\atiags32.dll
%TEMP%\360drvmgr\cloudcom2.dll
%TEMP%\360drvmgr\computerz.sys
%TEMP%\360drvmgr\computerz1.dll
%TEMP%\7za.exe
%TEMP%\360drvmgr\360drvmgr.exe
%TEMP%\360drvmgr\hwparams.dat

Удаляет следующие файлы

%TEMP%\aut2903.tmp
%TEMP%\aut2980.tmp
%TEMP%\aut2c5f.tmp
%TEMP%\360drv.7z
%TEMP%\7za.exe
%WINDIR%\temp\udd7a9b.tmp
%APPDATA%\microsoft\crypto\rsa\s-1-5-21-1960123792-2022915161-3775307078-1001\c6d010e82392216311e3dad96d6d8568_36d1130a-ac2e-44f7-9dc1-e424fbcbe0ee

Сетевая активность

Подключается к

's.###ashi.com':80
'dm.###shi.360.cn':443
'co##.wsm.360.cn':80
're#.#hsetup.com':80
'ap#.###ver.360safe.com':443
'microsoft.com':80
'oc##.crlocsp.cn':80
'cr#.#rlocsp.cn':80

TCP

Запросы HTTP GET

http://s.###ashi.com/url2?pi##################################################################################################################################################
http://s.###ashi.com/url2?pi#########################################################################################################################################################
http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt
http://oc##.crlocsp.cn/MFEwTzBNMEswSTAJBgUrDgMCGgUABBRgH%2FPN%2F2KBN5Fec0GB96MNB1kxHgQUmZst9ovwo9uJ1J775XQvaNKQT%2BQCEFuA4iTfh%2FfKxP0eO%2FOGNHU%3D
http://cr#.#rlocsp.cn/WoTrusDVServerCA_2.crl

Запросы HTTP POST

http://co##.wsm.360.cn/client/query2?m=############################################################

Другие

'dm.###shi.360.cn':443
'ap#.###ver.360safe.com':443

UDP

DNS ASK s.###ashi.com
DNS ASK dm.###shi.360.cn
DNS ASK co##.wsm.360.cn
DNS ASK re#.#hsetup.com
DNS ASK ap#.###ver.360safe.com
DNS ASK microsoft.com
DNS ASK oc##.crlocsp.cn
DNS ASK cr#.#rlocsp.cn
DNS ASK public-trust.com

Другое

Ищет следующие окна

ClassName: 'ComputerZService' WindowName: ''
ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebCheckMonitor' WindowName: ''
ClassName: 'TLudashiFormMain' WindowName: ''
ClassName: '~CComputerZWindow' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\7za.exe' x %TEMP%\360Drv.7z -y -o%TEMP%\360DrvMgr\ -p16888
'%TEMP%\360drvmgr\360drvmgr.exe'
'%TEMP%\360drvmgr\scriptexecute.exe' /uninstallSrv
'%TEMP%\360drvmgr\computerzservice.exe'
'%TEMP%\360drvmgr\scriptexecute.exe' /tip
'%TEMP%\7za.exe' x %TEMP%\360Drv.7z -y -o%TEMP%\360DrvMgr\ -p16888' (со скрытым окном)