Trojan.Siggen18.38958

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\Software\Classes\yebao\shell\open\command] '' = '"%ProgramFiles(x86)%\YBPlatform\YeBao.exe" "%1"'

Вредоносные функции

Запускает на исполнение

'%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="yebao" dir=in program="%ProgramFiles(x86)%\YBPlatform\YeBao.exe" action=allow
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="yebao" dir=out program="%ProgramFiles(x86)%\YBPlatform\YeBao.exe" action=allow

Изменения в файловой системе

Создает следующие файлы

%TEMP%\launcher.exe
%ProgramFiles(x86)%\ybplatform\config\cache.json
%APPDATA%\microsoft\crypto\rsa\s-1-5-21-1960123792-2022915161-3775307078-1001\fd239c196a8df63f6a371c4a4b714aab_36d1130a-ac2e-44f7-9dc1-e424fbcbe0ee
%ProgramFiles(x86)%\ybplatform\config\client.json
%ProgramFiles(x86)%\ybplatform\yebaovpn.dll
%ProgramFiles(x86)%\ybplatform\yebaouninstall.exe
%ProgramFiles(x86)%\ybplatform\yebaokernel.dll
%ProgramFiles(x86)%\ybplatform\log\yebao.log
%ProgramFiles(x86)%\ybplatform\yebaodebug.dll
%ProgramFiles(x86)%\ybplatform\yebao.exe
%ProgramFiles(x86)%\ybplatform\yblsp64.dll
%ProgramFiles(x86)%\ybplatform\yblsp.dll
%ProgramFiles(x86)%\ybplatform\wintunsocksdll.dll
%ProgramFiles(x86)%\ybplatform\wintunsocks.exe
%ProgramFiles(x86)%\ybplatform\wintun.dll
%ProgramFiles(x86)%\ybplatform\yebaocore.dll
%ProgramFiles(x86)%\ybplatform\log\cache
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\野豹游戏加速器\野豹游戏加速器.lnk
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\野豹游戏加速器\卸载.lnk
%ALLUSERSPROFILE%\yebao\temp\toolscript\tool_box_script_4.bat.tmp
%ALLUSERSPROFILE%\yebao\temp\toolscript\tool_box_script_3.bat.tmp
%ALLUSERSPROFILE%\yebao\temp\toolscript\tool_box_script_8.bat.tmp
%ALLUSERSPROFILE%\yebao\temp\toolscript\tool_box_script_5.bat.tmp
%ALLUSERSPROFILE%\yebao\temp\toolscript\tool_box_script_2.bat.tmp
%ALLUSERSPROFILE%\yebao\temp\toolscript\tool_box_script_7.bat.tmp
%ALLUSERSPROFILE%\yebao\temp\toolscript\tool_box_script_10.bat.tmp
%ALLUSERSPROFILE%\yebao\temp\toolscript\tool_box_script_9.bat.tmp
%ALLUSERSPROFILE%\yebao\temp\toolscript\tool_box_script_1.bat.tmp
%ALLUSERSPROFILE%\yebao\temp\bannerpic\banner_23.png.tmp
%ALLUSERSPROFILE%\yebao\temp\gamepic\5_default.png.tmp
%ALLUSERSPROFILE%\yebao\temp\gamepic\2241_default.png.tmp
%ALLUSERSPROFILE%\yebao\temp\gamepic\9_default.png.tmp
%ALLUSERSPROFILE%\yebao\temp\gamepic\51_default.png.tmp
%ALLUSERSPROFILE%\yebao\temp\gamepic\363_default.png.tmp
%ProgramFiles(x86)%\ybplatform\utilities.dll
%ALLUSERSPROFILE%\yebao\temp\toolscript\tool_box_script_6.bat.tmp
%ProgramFiles(x86)%\ybplatform\toolbox\steam_repair.exe
%ProgramFiles(x86)%\ybplatform\soui.dll
%ProgramFiles(x86)%\ybplatform\verinfo.json
%ProgramFiles(x86)%\ybplatform\license\license_wintun.txt
%ProgramFiles(x86)%\ybplatform\license\license_soui.txt
%ProgramFiles(x86)%\ybplatform\license\license_pcap.txt
%ProgramFiles(x86)%\ybplatform\license\license_7z.txt
%ProgramFiles(x86)%\ybplatform\config\remind.json
%ProgramFiles(x86)%\ybplatform\yebao.dat
%ProgramFiles(x86)%\ybplatform\config\ipmask.json
%ProgramFiles(x86)%\ybplatform\config\filter.txt
%ProgramFiles(x86)%\ybplatform\config\dialconfig.txt
%ProgramFiles(x86)%\ybplatform\config\consoleconfig.txt
%ProgramFiles(x86)%\ybplatform\client.p12
%ProgramFiles(x86)%\ybplatform\ca.cer
%TEMP%\tmpclient.7z
%ProgramFiles(x86)%\ybplatform\config\httpproxy.txt
%ProgramFiles(x86)%\ybplatform\7zdecode.dll
%ProgramFiles(x86)%\ybplatform\bin\imgdecoder-gdip.dll
%ProgramFiles(x86)%\ybplatform\bin\render-skia.dll
%ProgramFiles(x86)%\ybplatform\netfilterinterface.dll
%ProgramFiles(x86)%\ybplatform\netfilter\nfwfp862.sys
%ProgramFiles(x86)%\ybplatform\netfilter\nfwfp86.sys
%ProgramFiles(x86)%\ybplatform\netfilter\nfwfp642.sys
%ProgramFiles(x86)%\ybplatform\netfilter\nfwfp64.sys
%ProgramFiles(x86)%\ybplatform\netfilter\nftdi86.sys
%ProgramFiles(x86)%\ybplatform\netfilter\nftdi64.sys
%ProgramFiles(x86)%\ybplatform\mount64.exe
%ProgramFiles(x86)%\ybplatform\mount.exe
%ProgramFiles(x86)%\ybplatform\http_dll.dll
%ProgramFiles(x86)%\ybplatform\httpproxy.exe
%ProgramFiles(x86)%\ybplatform\crashsender1403.exe
%ProgramFiles(x86)%\ybplatform\console\openconsolenpfx64.sys
%ProgramFiles(x86)%\ybplatform\console\openconsolenpfx32.sys
%ProgramFiles(x86)%\ybplatform\checktoolservice.exe
%ProgramFiles(x86)%\ybplatform\tcpproxy.dll
%TEMP%\ybu7b37.tmp

Удаляет следующие файлы

%ProgramFiles(x86)%\ybplatform\config\ipm0029.old

Перемещает следующие файлы

%ALLUSERSPROFILE%\yebao\temp\gamepic\363_default.png.tmp в %ALLUSERSPROFILE%\yebao\temp\gamepic\363_default.png
%ALLUSERSPROFILE%\yebao\temp\toolscript\tool_box_script_4.bat.tmp в %ALLUSERSPROFILE%\yebao\temp\toolscript\tool_box_script_4.bat
%ALLUSERSPROFILE%\yebao\temp\toolscript\tool_box_script_3.bat.tmp в %ALLUSERSPROFILE%\yebao\temp\toolscript\tool_box_script_3.bat
%ALLUSERSPROFILE%\yebao\temp\toolscript\tool_box_script_8.bat.tmp в %ALLUSERSPROFILE%\yebao\temp\toolscript\tool_box_script_8.bat
%ALLUSERSPROFILE%\yebao\temp\toolscript\tool_box_script_5.bat.tmp в %ALLUSERSPROFILE%\yebao\temp\toolscript\tool_box_script_5.bat
%ALLUSERSPROFILE%\yebao\temp\toolscript\tool_box_script_2.bat.tmp в %ALLUSERSPROFILE%\yebao\temp\toolscript\tool_box_script_2.bat
%ALLUSERSPROFILE%\yebao\temp\toolscript\tool_box_script_7.bat.tmp в %ALLUSERSPROFILE%\yebao\temp\toolscript\tool_box_script_7.bat
%ALLUSERSPROFILE%\yebao\temp\toolscript\tool_box_script_6.bat.tmp в %ALLUSERSPROFILE%\yebao\temp\toolscript\tool_box_script_6.bat
%ALLUSERSPROFILE%\yebao\temp\toolscript\tool_box_script_10.bat.tmp в %ALLUSERSPROFILE%\yebao\temp\toolscript\tool_box_script_10.bat
%ALLUSERSPROFILE%\yebao\temp\toolscript\tool_box_script_1.bat.tmp в %ALLUSERSPROFILE%\yebao\temp\toolscript\tool_box_script_1.bat
%ALLUSERSPROFILE%\yebao\temp\bannerpic\banner_23.png.tmp в %ALLUSERSPROFILE%\yebao\temp\bannerpic\banner_23.png
%ALLUSERSPROFILE%\yebao\temp\gamepic\5_default.png.tmp в %ALLUSERSPROFILE%\yebao\temp\gamepic\5_default.png
%ALLUSERSPROFILE%\yebao\temp\gamepic\2241_default.png.tmp в %ALLUSERSPROFILE%\yebao\temp\gamepic\2241_default.png
%ALLUSERSPROFILE%\yebao\temp\gamepic\9_default.png.tmp в %ALLUSERSPROFILE%\yebao\temp\gamepic\9_default.png
%ALLUSERSPROFILE%\yebao\temp\gamepic\51_default.png.tmp в %ALLUSERSPROFILE%\yebao\temp\gamepic\51_default.png
%ALLUSERSPROFILE%\yebao\temp\toolscript\tool_box_script_9.bat.tmp в %ALLUSERSPROFILE%\yebao\temp\toolscript\tool_box_script_9.bat
%ProgramFiles(x86)%\ybplatform\config\ipmask.json в %ProgramFiles(x86)%\ybplatform\config\ipm0029.old

Подменяет следующие файлы

%ProgramFiles(x86)%\ybplatform\config\ipmask.json

Сетевая активность

Подключается к

'localhost':49174
'localhost':49407
'localhost':49409
'localhost':49412
'localhost':49414
'localhost':49417
'localhost':49419
'localhost':49422
'localhost':49424
'localhost':49427
'localhost':49429
'localhost':49432
'localhost':49434
'localhost':49437
'localhost':49439
'localhost':49442
'localhost':49404
'localhost':49350
'localhost':49402
'localhost':49396
'localhost':49355
'localhost':49361
'localhost':49363
'localhost':49367
'localhost':49369
'localhost':49372
'localhost':49374
'localhost':49377
'localhost':49379
'localhost':49382
'localhost':49384
'localhost':49387
'localhost':49389
'localhost':49392
'localhost':49394
'localhost':49398
'localhost':49353
'localhost':49444
'localhost':49454
'localhost':49502
'localhost':49504
'localhost':49507
'localhost':49509
'localhost':49512
'localhost':49514
'localhost':49281
'localhost':49517
'localhost':49522
'localhost':49524
'localhost':49527
'localhost':49529
'localhost':49532
'localhost':49534
'localhost':49497
'localhost':49499
'localhost':49449
'localhost':49447
'localhost':49489
'localhost':49457
'localhost':49459
'localhost':49462
'localhost':49464
'localhost':49467
'localhost':49469
'localhost':49472
'localhost':49474
'localhost':49477
'localhost':49479
'localhost':49482
'localhost':49484
'localhost':49487
'localhost':49492
'localhost':49452
'localhost':49494
'localhost':49348
'localhost':49345
'localhost':49343
'localhost':49214
'localhost':49216
'da#####i.yebaojiasu.com':443
'localhost':49227
'localhost':49229
'localhost':49231
'localhost':49233
'localhost':49235
'localhost':49237
'localhost':49239
'localhost':49241
'localhost':49243
'localhost':49245
'localhost':49247
'localhost':49210
'localhost':49249
'localhost':49208
'localhost':49204
'localhost':49176
'ap######n-js.yebaojiasu.com':443
'localhost':49179
'dl###.#ebaojiasu.com':443
'localhost':49182
'localhost':49184
'localhost':49186
'localhost':49188
'localhost':49190
'localhost':49192
'localhost':49194
'localhost':49196
'localhost':49198
'localhost':49200
'localhost':49202
'localhost':49206
'localhost':49251
'localhost':49212
'localhost':49254
'ap######s.yebaojiasu.com':443
'localhost':49314
'localhost':49317
'localhost':49319
'localhost':49321
'localhost':49323
'localhost':49325
'localhost':49327
'localhost':49329
'localhost':49331
'localhost':49333
'localhost':49335
'localhost':49339
'localhost':49341
'localhost':49307
'localhost':49299
'localhost':49312
'localhost':49305
'localhost':49297
'localhost':49256
'localhost':49260
'localhost':49263
'localhost':49265
'localhost':49262
'localhost':49268
'localhost':49270
'localhost':49537
'localhost':49519
'ap######uct.yebaojiasu.com':443
'localhost':49285
'localhost':49287
'localhost':49289
'localhost':49291
'localhost':49293
'localhost':49295
'localhost':49258
'localhost':49283
'localhost':49539

TCP

Другие

'localhost':49174
'localhost':49405
'localhost':49407
'localhost':49409
'localhost':49410
'localhost':49412
'localhost':49414
'localhost':49415
'localhost':49417
'localhost':49419
'localhost':49420
'localhost':49422
'localhost':49425
'localhost':49445
'localhost':49427
'localhost':49429
'localhost':49430
'localhost':49432
'localhost':49434
'localhost':49435
'localhost':49437
'localhost':49439
'localhost':49440
'localhost':49442
'localhost':49444
'localhost':49404
'localhost':49424
'localhost':49402
'localhost':49377
'localhost':49344
'localhost':49361
'localhost':49363
'localhost':49351
'localhost':49364
'localhost':49367
'localhost':49369
'localhost':49370
'localhost':49372
'localhost':49374
'localhost':49375
'localhost':49379
'localhost':49395
'localhost':49380
'localhost':49382
'localhost':49384
'localhost':49385
'localhost':49387
'localhost':49389
'localhost':49390
'localhost':49392
'localhost':49394
'localhost':49396
'localhost':49398
'localhost':49399
'localhost':49472
'localhost':49539
'localhost':49450
'localhost':49499
'localhost':49500
'localhost':49502
'localhost':49504
'localhost':49505
'localhost':49507
'localhost':49509
'localhost':49510
'localhost':49512
'localhost':49514
'localhost':49515
'localhost':49519
'localhost':49449
'localhost':49520
'localhost':49522
'localhost':49524
'localhost':49525
'localhost':49527
'localhost':49529
'localhost':49530
'localhost':49532
'localhost':49534
'localhost':49535
'localhost':49537
'localhost':49497
'localhost':49334
'localhost':49495
'localhost':49470
'localhost':49452
'localhost':49454
'localhost':49455
'localhost':49457
'localhost':49459
'localhost':49460
'localhost':49462
'localhost':49464
'localhost':49465
'localhost':49467
'localhost':49469
'localhost':49447
'localhost':49492
'localhost':49474
'localhost':49475
'localhost':49477
'localhost':49479
'localhost':49480
'localhost':49482
'localhost':49484
'localhost':49485
'localhost':49487
'localhost':49489
'localhost':49490
'localhost':49494
'localhost':49517
'localhost':49356
'localhost':49333
'localhost':49201
'localhost':49185
'localhost':49213
'localhost':49209
'localhost':49217
'localhost':49229
'localhost':49231
'localhost':49235
'localhost':49241
'localhost':49245
'localhost':49247
'localhost':49251
'localhost':49260
'localhost':49248
'localhost':49227
'localhost':49233
'localhost':49237
'localhost':49239
'localhost':49243
'localhost':49263
'localhost':49265
'localhost':49254
'localhost':49256
'localhost':49258
'localhost':49189
'localhost':49249
'localhost':49197
'localhost':49192
'localhost':49176
'localhost':49177
'ap######n-js.yebaojiasu.com':443
'localhost':49179
'localhost':49180
'dl###.#ebaojiasu.com':443
'localhost':49182
'localhost':49184
'localhost':49186
'localhost':49188
'localhost':49190
'localhost':49194
'localhost':49193
'localhost':49196
'localhost':49198
'localhost':49200
'localhost':49202
'localhost':49204
'localhost':49206
'localhost':49208
'localhost':49210
'localhost':49212
'localhost':49214
'localhost':49216
'localhost':49205
'localhost':49287
'localhost':49355
'localhost':49270
'localhost':49312
'localhost':49314
'localhost':49315
'localhost':49317
'localhost':49319
'localhost':49321
'localhost':49323
'localhost':49329
'localhost':49331
'localhost':49325
'localhost':49327
'localhost':49335
'localhost':49268
'localhost':49320
'localhost':49332
'localhost':49336
'localhost':49339
'localhost':49341
'localhost':49343
'localhost':49345
'localhost':49348
'localhost':49350
'localhost':49324
'localhost':49353
'localhost':49308
'localhost':49346
'localhost':49300
'localhost':49285
'localhost':49252
'localhost':49255
'localhost':49267
'localhost':49271
'localhost':49246
'localhost':49250
'localhost':49261
'localhost':49259
'localhost':49266
'localhost':49281
'localhost':49283
'localhost':49262
'localhost':49307
'localhost':49289
'localhost':49291
'localhost':49293
'localhost':49295
'localhost':49297
'localhost':49299
'localhost':49257
'localhost':49288
'localhost':49298
'localhost':49284
'localhost':49305
'localhost':49292
'localhost':49540

UDP

DNS ASK ap######n-js.yebaojiasu.com
DNS ASK dl###.#ebaojiasu.com
DNS ASK ne#####b.yebaojiasu.com
DNS ASK da#####i.yebaojiasu.com
DNS ASK ap######uct.yebaojiasu.com
DNS ASK ap######s.yebaojiasu.com

Другое

Добавляет корневой сертификат

Создает и запускает на исполнение

'%TEMP%\launcher.exe' -launcher=<Текущая директория>\?-install=%ProgramFiles(x86)%\YBPlatform
'%ProgramFiles(x86)%\ybplatform\yebao.exe' -startby=launcher?-startkey=19
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall delete rule name="yebao" dir=in program="%ProgramFiles(x86)%\YBPlatform\YeBao.exe"' (со скрытым окном)
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall delete rule name="yebao" dir=out program="%ProgramFiles(x86)%\YBPlatform\YeBao.exe"' (со скрытым окном)
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="yebao" dir=in program="%ProgramFiles(x86)%\YBPlatform\YeBao.exe" action=allow' (со скрытым окном)
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="yebao" dir=out program="%ProgramFiles(x86)%\YBPlatform\YeBao.exe" action=allow' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /C ipconfig /flushdns
'%WINDIR%\syswow64\cmd.exe' /C sc stop PandaSpeed64
'%WINDIR%\syswow64\sc.exe' stop PandaSpeed64
'%WINDIR%\syswow64\cmd.exe' /C sc stop netfilter2
'%WINDIR%\syswow64\sc.exe' stop netfilter2
'%WINDIR%\syswow64\cmd.exe' /C sc stop xfilter
'%WINDIR%\syswow64\sc.exe' stop xfilter
'%WINDIR%\syswow64\cmd.exe' /C sc stop xyovlfknl
'%WINDIR%\syswow64\sc.exe' stop xyovlfknl
'%WINDIR%\syswow64\sc.exe' stop ylwfp
'%WINDIR%\syswow64\cmd.exe' /C sc stop vkedivppkvv
'%WINDIR%\syswow64\cmd.exe' /C sc stop akdriversys
'%WINDIR%\syswow64\sc.exe' stop akdriversys
'%WINDIR%\syswow64\cmd.exe' /C sc stop tgdriversys
'%WINDIR%\syswow64\sc.exe' stop tgdriversys
'%WINDIR%\syswow64\cmd.exe' /C sc stop sdknetfilter
'%WINDIR%\syswow64\sc.exe' stop sdknetfilter
'%WINDIR%\syswow64\cmd.exe' /C sc stop aaanfil
'%WINDIR%\syswow64\sc.exe' stop aaanfil
'%WINDIR%\syswow64\cmd.exe' /C sc stop uuwfp
'%WINDIR%\syswow64\sc.exe' stop uuwfp
'%WINDIR%\syswow64\sc.exe' stop uupacket
'%WINDIR%\syswow64\cmd.exe' /C sc stop uupacket
'%WINDIR%\syswow64\sc.exe' stop xunyoufilter
'%WINDIR%\syswow64\ipconfig.exe' /flushdns
'%WINDIR%\syswow64\cmd.exe' /C sc stop baozi
'%WINDIR%\syswow64\cmd.exe' /C sc stop lgdcatcher
'%WINDIR%\syswow64\sc.exe' stop baozi
'%WINDIR%\syswow64\sc.exe' stop lgdcatcher
'%WINDIR%\syswow64\cmd.exe' /C sc stop lgdcatchertdi
'%WINDIR%\syswow64\sc.exe' stop lgdcatchertdi
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall delete rule name="yebao" dir=out program="%ProgramFiles(x86)%\YBPlatform\YeBao.exe"
'%WINDIR%\syswow64\cmd.exe' /C sc stop crazybirdnf
'%WINDIR%\syswow64\sc.exe' stop vkedivppkvv
'%WINDIR%\syswow64\cmd.exe' /C sc stop ylwfp
'%WINDIR%\syswow64\sc.exe' stop ylpacket
'%WINDIR%\syswow64\cmd.exe' /C sc stop netwfp
'%WINDIR%\syswow64\sc.exe' stop netwfp
'%WINDIR%\syswow64\cmd.exe' /C sc stop ProxyDrvA0
'%WINDIR%\syswow64\sc.exe' stop ProxyDrvA0
'%WINDIR%\syswow64\cmd.exe' /C sc stop vkdpi
'%WINDIR%\syswow64\sc.exe' stop vkdpi
'%WINDIR%\syswow64\cmd.exe' /C sc stop xunyoufilter
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall delete rule name="yebao" dir=in program="%ProgramFiles(x86)%\YBPlatform\YeBao.exe"
'%WINDIR%\syswow64\cmd.exe' /C sc stop ylpacket
'%WINDIR%\syswow64\sc.exe' stop crazybirdnf

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней