Trojan.Siggen18.48512

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[<HKLM>\System\CurrentControlSet\Services\A57DnBYvJ] 'Start' = '00000001'
[<HKLM>\System\CurrentControlSet\Services\A57DnBYvJ] 'ImagePath' = '%WINDIR%\SysWOW64\A57DnBYvJ.sys'

Создает следующие сервисы

'A57DnBYvJ' %WINDIR%\SysWOW64\A57DnBYvJ.sys

Вредоносные функции

Для затруднения выявления своего присутствия в системе

изменяет следующие системные настройки:

Изменяет DNS-сервер на '<DNS_SERVER>'
Изменяет DNS-сервер на '114.114.114.114'

Внедряет код в

следующие пользовательские процессы:

c400fd87df.exe

Изменения в файловой системе

Создает следующие файлы

%HOMEPATH%\desktop\<Имя файла>.lnk
<Текущая директория>\e3f120065\ca5eda678da\560fawjf1.dll
<Текущая директория>\e3f120065\h62510071dd0\fd36ac747\54f2e1pma.exe
<Текущая директория>\e3f120065\e409133b44\3051daxli.dll
<Текущая директория>\e3f120065\c5120a6e27a\fa863rocz.dll
<Текущая директория>\e3f120065\a6c8587d4e27\dbc4ih4rn.dll
<Текущая директория>\e3f120065\a956f3fb\4b5c5tqeb.dll
<Текущая директория>\e3f120065\d5dfe6a2138\ca5ed0ol8.dll
<Текущая директория>\e3f120065\aabc77\7711li5tq.dll
<Текущая директория>\e3f120065\h62510071dd0\jbabd955\9893j6ure.dll
<Текущая директория>\e3f120065\h62510071dd0\b53b34bebca\3eacg6urg.dll
<Текущая директория>\e3f120065\h62510071dd0\jfe81ed\4b6ehe1pm.dll
<Текущая директория>\e3f120065\h62510071dd0\aba009\c313uwkh5.dll
<Текущая директория>\e3f120065\h62510071dd0\a34f333dc\3cff2qnb.dll
<Текущая директория>\e3f120065\h62510071dd0\fdc88e8\37a1wxli5.dll
<Текущая директория>\e3f120065\h62510071dd0\iecdcf35b\d545jaxui.dll
<Текущая директория>\e3f120065\b4b7cc748e
%LOCALAPPDATA%\microsoft\windows\history\history.ie5\mshist012022091920220920\index.dat
%ProgramFiles(x86)%\k-lite codec pack\c400fd87df.exe
<Текущая директория>\e3f120065\h62510071dd0\d80e186\3a25if2qn.dll
%WINDIR%\syswow64\a57dnbyvj.sys

Удаляет следующие файлы

%LOCALAPPDATA%\microsoft\windows\history\history.ie5\mshist012022091920220920\index.dat
<DRIVERS>\etc\hosts

Изменяет следующие файлы

Сетевая активность

Подключается к

'jd##.######-zhangjiakou.aliyuncs.com':80
'10#.#01.172.229':80
'ht###.#ernel-sys.com':80
'ka####.360kemon.com':8080
'22#.#9.68.50':80
'1.##4.187.4':80
'58.##3.140.96':80

TCP

Запросы HTTP GET

http://jd##.######-zhangjiakou.aliyuncs.com/index.html
http://ht###.#ernel-sys.com/data.php?t=#####

UDP

DNS ASK jd##.######-zhangjiakou.aliyuncs.com
DNS ASK ba##u.com
DNS ASK os#.##iyungx.com
DNS ASK ht##.##crosoftcs.com
DNS ASK ht###.#ernel-sys.com
DNS ASK ka####.360kemon.com

Другое

Ищет следующие окна

ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebCheckMonitor' WindowName: ''

Создает и запускает на исполнение

'%ProgramFiles(x86)%\k-lite codec pack\c400fd87df.exe' WfCSJh8oJIJ4kiZ5g3x5Jig8eyZ7Tg==
'%WINDIR%\syswow64\reg.exe' delete HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\C400FD87DF /f' (со скрытым окном)

Запускает на исполнение