Trojan.Siggen18.48260

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\securityservicehub
<SYSTEM32>\tasks\securityhealthenvelope
%APPDATA%\microsoft\windows\start menu\programs\startup\app.ico.lnk

Изменения в файловой системе

Создает следующие файлы

%TEMP%\tmpc7b1.tmp.ps1
%LOCALAPPDATA%\servicehub\securityservicehub.exe
%LOCALAPPDATA%\servicehub\manifest.json
%LOCALAPPDATA%\servicehub\lyncimmres.dll
%LOCALAPPDATA%\servicehub\lstelemetry.dll
%LOCALAPPDATA%\servicehub\eappprxy.dll
%LOCALAPPDATA%\servicehub\dbupdate.bin
%LOCALAPPDATA%\servicehub\$iw2mtnp.bin
%LOCALAPPDATA%\servicehub\$i9sl3wo.bin
%LOCALAPPDATA%\servicehub\wsmprovhost.exe
%LOCALAPPDATA%\servicehub\wsmplpxy.dll
%LOCALAPPDATA%\servicehub\wpeutil.exe
%LOCALAPPDATA%\servicehub\wmpshare.exe
%LOCALAPPDATA%\servicehub\wmiadap.exe
%LOCALAPPDATA%\servicehub\winpeshl.exe
%LOCALAPPDATA%\servicehub\windowssandbox.exe
%LOCALAPPDATA%\servicehub\windeployqt.exe
%LOCALAPPDATA%\servicehub\windeploy.exe
%LOCALAPPDATA%\servicehub\vccorlib140_app.dll
%LOCALAPPDATA%\servicehub\userlanguageprofilecallback.dll
%LOCALAPPDATA%\servicehub\staticscope.bin
%LOCALAPPDATA%\servicehub\smierrsm.dll
%LOCALAPPDATA%\servicehub\ondemandconnroutehelper.dll
%LOCALAPPDATA%\servicehub\nvdrssel.bin
%LOCALAPPDATA%\servicehub\msvcp120_app.dll
%LOCALAPPDATA%\servicehub\msimsg.dll
%LOCALAPPDATA%\servicehub\mprtp.dll
%LOCALAPPDATA%\servicehub\mpclient.dll
%LOCALAPPDATA%\servicehub\microsoft.management.infrastructure.native.unmanaged.dll
%LOCALAPPDATA%\servicehubsecuritysystemservicehub.dll
%APPDATA%\windows\securitycryptography.exe
%LOCALAPPDATA%\windows\microsoftenvelope.exe

Удаляет следующие файлы

%TEMP%\tmpc7b1.tmp.ps1
%LOCALAPPDATA%\servicehubsecuritysystemservicehub.dll

Сетевая активность

Подключается к

'ch####p.dyndns.org':80
'ho##.#cloud.click':1433

TCP

Запросы HTTP GET

http://ch####p.dyndns.org/

Другие

'ho##.#cloud.click':1433

UDP

DNS ASK ch####p.dyndns.org
DNS ASK ho##.#cloud.click

Другое

Ищет следующие окна

ClassName: 'EDIT' WindowName: ''

Создает и запускает на исполнение

'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -executionpolicy bypass -NonInteractive -windowstyle Hidden -file %TEMP%\tmpC7B1.tmp.ps1
'%LOCALAPPDATA%\servicehubsecuritysystemservicehub.dll' -p123
'%LOCALAPPDATA%\servicehub\securityservicehub.exe'
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -executionpolicy bypass -NonInteractive -windowstyle Hidden -file %TEMP%\tmpC7B1.tmp.ps1' (со скрытым окном)
'%LOCALAPPDATA%\servicehubsecuritysystemservicehub.dll' -p123' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /create /sc minute /mo 1 /f /tn SecurityServiceHub /tr "%LOCALAPPDATA%\ServiceHub\SecurityServiceHub.exe"' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /create /sc onstart minute /mo 30 /f /tn MicrosoftOneDriveStandalone /tr "%APPDATA%\windows\SecurityCryptography.exe"' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /create /sc minute /mo 7 /f /tn SecurityHealthEnvelope /tr "%LOCALAPPDATA%\windows\MicrosoftEnvelope.exe"' (со скрытым окном)
'%LOCALAPPDATA%\servicehub\securityservicehub.exe' ' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\schtasks.exe' /create /sc minute /mo 1 /f /tn SecurityServiceHub /tr "%LOCALAPPDATA%\ServiceHub\SecurityServiceHub.exe"
'%WINDIR%\syswow64\schtasks.exe' /create /sc onstart minute /mo 30 /f /tn MicrosoftOneDriveStandalone /tr "%APPDATA%\windows\SecurityCryptography.exe"
'%WINDIR%\syswow64\schtasks.exe' /create /sc minute /mo 7 /f /tn SecurityHealthEnvelope /tr "%LOCALAPPDATA%\windows\MicrosoftEnvelope.exe"
'%WINDIR%\syswow64\cmd.exe' /c wmic path win32_computersystemproduct get uuid /value
'%WINDIR%\syswow64\wbem\wmic.exe' path win32_computersystemproduct get uuid /value
'%WINDIR%\syswow64\cmd.exe' /c Wmic os get Caption /value
'%WINDIR%\syswow64\wbem\wmic.exe' os get Caption /value
'%WINDIR%\syswow64\cmd.exe' /c wmic /Namespace:\\root\SecurityCenter2 Path AntiVirusProduct get displayname
'%WINDIR%\syswow64\wbem\wmic.exe' /Namespace:\\root\SecurityCenter2 Path AntiVirusProduct get displayname
'%WINDIR%\syswow64\cmd.exe' /c wmic path win32_VideoController get name /value
'%WINDIR%\syswow64\wbem\wmic.exe' path win32_VideoController get name /value
'%WINDIR%\syswow64\cmd.exe' /c wmic computersystem get totalphysicalmemory
'%WINDIR%\syswow64\wbem\wmic.exe' computersystem get totalphysicalmemory
'<SYSTEM32>\taskeng.exe' {166EAD1C-CCC9-443D-9C21-D970C14253D0} S-1-5-21-1960123792-2022915161-3775307078-1001:bemsscfuo\user:Interactive:[1]
'%WINDIR%\syswow64\cmd.exe' /c wmic process where ExecutablePath='%HomeDrive%\\Users\\%username%\\AppData\\Roaming\\system32\\svchost.exe' Get ProcessID
'%WINDIR%\syswow64\wbem\wmic.exe' process where ExecutablePath='C:\\Users\\user\\AppData\\Roaming\\system32\\svchost.exe' Get ProcessID