Trojan.Siggen18.7033

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[<HKLM>\System\CurrentControlSet\Services\4D9ABWrDY] 'Start' = '00000001'
[<HKLM>\System\CurrentControlSet\Services\4D9ABWrDY] 'ImagePath' = '%WINDIR%\SysWOW64\4D9ABWrDY.sys'

Создает следующие сервисы

'4D9ABWrDY' %WINDIR%\SysWOW64\4D9ABWrDY.sys

Вредоносные функции

Для затруднения выявления своего присутствия в системе

изменяет следующие системные настройки:

Изменяет DNS-сервер на '<DNS_SERVER>'
Изменяет DNS-сервер на '114.114.114.114'

Внедряет код в

следующие пользовательские процессы:

j9339cd.exe

Изменения в файловой системе

Создает следующие файлы

%HOMEPATH%\desktop\<Имя файла>.lnk
<Текущая директория>\c8c8faf\i11bb86\f372aa25e\29964ql6s.exe
<Текущая директория>\c8c8faf\be6f8da066d8\4e76dykf0.dll
<Текущая директория>\c8c8faf\fc98546a\90a6cxsez.dll
<Текущая директория>\c8c8faf\ab5265cb003\cf2efavhc.dll
<Текущая директория>\c8c8faf\d1524cb\3756l6sn8.dll
<Текущая директория>\c8c8faf\h5ba39078b4\6f88rezuh.dll
<Текущая директория>\c8c8faf\f78a56\5adcbwidy.dll
<Текущая директория>\c8c8faf\i11bb86\ffae8eb\808an8upb.dll
%WINDIR%\syswow64\4d9abwrdy.sys
<Текущая директория>\c8c8faf\i11bb86\cb12e51\4021mh2oj.dll
<Текущая директория>\c8c8faf\i11bb86\d2f0c25d\d559tgdyk.dll
<Текущая директория>\c8c8faf\i11bb86\fadd6b889dfd\6220nj5rm.dll
<Текущая директория>\c8c8faf\i11bb86\ca66f0457c72\e6d8obwrd.dll
<Текущая директория>\c8c8faf\i11bb86\i0a182\ae49fbwid.dll
%LOCALAPPDATA%\microsoft\windows\history\history.ie5\mshist012022061320220614\index.dat
<Текущая директория>\c8c8faf\i11bb86\c400cd648c\j9339cd1.ini
<Текущая директория>\c8c8faf\hd39707cb
%ProgramFiles(x86)%\qip 2012\j9339cd.exe
<Текущая директория>\c8c8faf\i11bb86\cdc5b592d67\4eb8favhc.dll
<DRIVERS>\rgigox2h.sys

Удаляет следующие файлы

%LOCALAPPDATA%\microsoft\windows\history\history.ie5\mshist012022061320220614\index.dat
<DRIVERS>\etc\hosts

Сетевая активность

Подключается к

'ya#####g.appchizi.com':80
'si###torage.cn':80
'11#.#14.114.114':80
'18#.#54.116.116':80
'11#.#9.29.29':80
'qq.com':80
'si###loud.net':80
'iq##i.com':80
'so##u.com':80
'si##.com.cn':80
'so##.com':80
'si###torage.com':80
'10#.#01.172.229':80
'go.###gxinsys.com':80
'22#.#9.68.50':80

TCP

Запросы HTTP GET

http://si###torage.cn/question/data.txt
http://si###torage.cn/question/vc8
http://si###loud.net/question/vc8
http://si###torage.com/question/vc8
http://si###torage.com/question/PrsProt64.rar
http://si###torage.com/question/B64d
http://si###torage.cn/question/PrsProt64.rar
http://si###torage.cn/question/B64d
http://si###loud.net/question/PrsProt64.rar
http://si###torage.com/question/B64d.rar
http://go.###gxinsys.com/data.php?t=#####
http://si###torage.cn/question/B64d.rar
http://si###loud.net/question/B64d.rar
http://si###loud.net/question/B64dtmp
http://si###torage.com/question/B64dtmp
http://si###torage.cn/question/B64dtmp
http://si###torage.cn/question/B64dtmp.rar
http://si###loud.net/question/B64dtmp.rar
http://si###torage.com/question/B64dtmp.rar
http://si###torage.cn/question/2022-06-13/10_07
http://si###loud.net/question/B64d
http://si###torage.cn/question/xinjdsfnx.txt
http://www.so##.com/
http://11#.#9.29.29/d?dn###############
http://18#.#54.116.116/d?dn###############
http://www.qq.com/
http://www.iq##i.com/
http://si###loud.net/question/data.txt
http://www.so##u.com/
http://si###loud.net/question/jdgg.txt
http://www.si##.com.cn/
http://si###loud.net/question/2022-06-13/10_07
http://18#.#54.116.116/d?dn################
http://si###loud.net/question/xinjdsfnx.txt
http://11#.#9.29.29/d?dn##############
http://18#.#54.116.116/d?dn##############
http://si###torage.com/question/jdgg.txt
http://si###torage.com/question/data.txt
http://si###torage.com/question/xinjdsfnx.txt
http://si###torage.com/question/2022-06-13/10_07
http://11#.#9.29.29/d?dn################
http://si###torage.cn/question/jdgg.txt
http://go.###gxinsys.com/xinlistj.rar

Запросы HTTP POST

http://ya#####g.appchizi.com/kss_io/io.php?v=################################################

UDP

DNS ASK ya#####g.appchizi.com
DNS ASK yu#.##1drive.com
DNS ASK kk.###qudong.com
DNS ASK my.###engxin.com
DNS ASK ss.###qudong.com
DNS ASK go.###gxinsys.com
DNS ASK ba##u.com
DNS ASK bb.###qudong.com
DNS ASK si###torage.com
DNS ASK si##.com.cn
DNS ASK qq.com
DNS ASK so##.com
DNS ASK iq##i.com
DNS ASK si###loud.net
DNS ASK si###torage.cn
DNS ASK so##u.com
DNS ASK my.##years.com

Другое

Ищет следующие окна

ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebCheckMonitor' WindowName: ''

Создает и запускает на исполнение

'%ProgramFiles(x86)%\qip 2012\j9339cd.exe' WfCSdXUoeh+SKit7HnU8eyZ7Tg==
'%WINDIR%\syswow64\reg.exe' delete HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\J9339CD10 /f' (со скрытым окном)

Запускает на исполнение