Trojan.Siggen18.63455

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '{6YITG1JU-6VRM-CT4N-CHDG-24AJZL82OXK9}' = '%HOMEPATH%\{8J58L509-8F71-G38U-6Q5X-6MFY5GW06FE5}\6AGR.exe'
[<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '{6YITG1JU-6VRM-CT4N-CHDG-24AJZL82OXK9}' = '%HOMEPATH%\{8J58L509-8F71-G38U-6Q5X-6MFY5GW06FE5}\6AGR.exe'

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\{6yitg1ju-6vrm-ct4n-chdg-24ajzl82oxk9}

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\7601.17514.amd64fre.win7sp1_rtm.101119-1850_x86maria.dll
%HOMEPATH%\{8j58l509-8f71-g38u-6q5x-6mfy5gw06fe5}\6agr.exe

Самоудаляется.

Сетевая активность

Подключается к

'19#.#6.29.65':6060
'ip##pi.com':80
'a.##mf.cat':443
'microsoft.com':80
'x1.#.lencr.org':80
'r3.#.lencr.org':80

TCP

Запросы HTTP GET

http://ip##pi.com/line/?fi###############################
http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt
http://x1.#.lencr.org/
http://r3.#.lencr.org/MFMwUTBPME0wSzAJBgUrDgMCGgUABBRI2smg%2ByvTLU%2Fw3mjS9We3NfmzxAQUFC6zF7dYVsuuUAlA5h%2BvnYsUwsYCEgQBQ3KIcw2ZZku18OjvY7NrqQ%3D%3D

Запросы HTTP POST

http://19#.##.29.65:6060/gate.php?36################### via 19#.#6.29.65

Другие

'a.##mf.cat':443

UDP

DNS ASK ip##pi.com
DNS ASK a.##mf.cat
DNS ASK microsoft.com
DNS ASK x1.#.lencr.org
DNS ASK r3.#.lencr.org

Другое

Создает и запускает на исполнение

'%HOMEPATH%\{8j58l509-8f71-g38u-6q5x-6mfy5gw06fe5}\6agr.exe' <Полный путь к файлу>
'%HOMEPATH%\{8j58l509-8f71-g38u-6q5x-6mfy5gw06fe5}\6agr.exe'
'%WINDIR%\syswow64\cmd.exe' /c schtasks /create /tn {6YITG1JU-6VRM-CT4N-CHDG-24AJZL82OXK9} /tr %HOMEPATH%\{8J58L509-8F71-G38U-6Q5X-6MFY5GW06FE5}\6AGR.exe /ri 1 /st 00:00 /sc daily /du 9999:59 /f' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c icacls "%HOMEPATH%\{8J58L509-8F71-G38U-6Q5X-6MFY5GW06FE5}" /inheritance:e /deny "*S-1-1-0:(R,REA,RA,RD)" "*S-1-5-7:(R,REA,RA,RD)"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c icacls "%HOMEPATH%\{8J58L509-8F71-G38U-6Q5X-6MFY5GW06FE5}" /inheritance:e /deny "SYSTEM:(R,REA,RA,RD)"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c icacls "%HOMEPATH%\{8J58L509-8F71-G38U-6Q5X-6MFY5GW06FE5}" /inheritance:e /deny "Administrators:(R,REA,RA,RD)"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c icacls "%HOMEPATH%\{8J58L509-8F71-G38U-6Q5X-6MFY5GW06FE5}" /inheritance:e /deny "Users:(R,REA,RA,RD)"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c icacls "%HOMEPATH%\{8J58L509-8F71-G38U-6Q5X-6MFY5GW06FE5}" /inheritance:e /deny "user:(R,REA,RA,RD)"' (со скрытым окном)
'%HOMEPATH%\{8j58l509-8f71-g38u-6q5x-6mfy5gw06fe5}\6agr.exe' <Полный путь к файлу>' (со скрытым окном)
'%HOMEPATH%\{8j58l509-8f71-g38u-6q5x-6mfy5gw06fe5}\6agr.exe' ' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c schtasks /create /tn {6YITG1JU-6VRM-CT4N-CHDG-24AJZL82OXK9} /tr %HOMEPATH%\{8J58L509-8F71-G38U-6Q5X-6MFY5GW06FE5}\6AGR.exe /ri 1 /st 00:00 /sc daily /du 9999:59 /f
'%WINDIR%\syswow64\cmd.exe' /c icacls "%HOMEPATH%\{8J58L509-8F71-G38U-6Q5X-6MFY5GW06FE5}" /inheritance:e /deny "*S-1-1-0:(R,REA,RA,RD)" "*S-1-5-7:(R,REA,RA,RD)"
'%WINDIR%\syswow64\cmd.exe' /c icacls "%HOMEPATH%\{8J58L509-8F71-G38U-6Q5X-6MFY5GW06FE5}" /inheritance:e /deny "SYSTEM:(R,REA,RA,RD)"
'%WINDIR%\syswow64\cmd.exe' /c icacls "%HOMEPATH%\{8J58L509-8F71-G38U-6Q5X-6MFY5GW06FE5}" /inheritance:e /deny "Administrators:(R,REA,RA,RD)"
'%WINDIR%\syswow64\cmd.exe' /c icacls "%HOMEPATH%\{8J58L509-8F71-G38U-6Q5X-6MFY5GW06FE5}" /inheritance:e /deny "Users:(R,REA,RA,RD)"
'%WINDIR%\syswow64\icacls.exe' "%HOMEPATH%\{8J58L509-8F71-G38U-6Q5X-6MFY5GW06FE5}" /inheritance:e /deny "*S-1-1-0:(R,REA,RA,RD)" "*S-1-5-7:(R,REA,RA,RD)"
'%WINDIR%\syswow64\schtasks.exe' /create /tn {6YITG1JU-6VRM-CT4N-CHDG-24AJZL82OXK9} /tr %HOMEPATH%\{8J58L509-8F71-G38U-6Q5X-6MFY5GW06FE5}\6AGR.exe /ri 1 /st 00:00 /sc daily /du 9999:59 /f
'%WINDIR%\syswow64\cmd.exe' /c icacls "%HOMEPATH%\{8J58L509-8F71-G38U-6Q5X-6MFY5GW06FE5}" /inheritance:e /deny "user:(R,REA,RA,RD)"
'%WINDIR%\syswow64\icacls.exe' "%HOMEPATH%\{8J58L509-8F71-G38U-6Q5X-6MFY5GW06FE5}" /inheritance:e /deny "SYSTEM:(R,REA,RA,RD)"
'%WINDIR%\syswow64\icacls.exe' "%HOMEPATH%\{8J58L509-8F71-G38U-6Q5X-6MFY5GW06FE5}" /inheritance:e /deny "Administrators:(R,REA,RA,RD)"
'%WINDIR%\syswow64\icacls.exe' "%HOMEPATH%\{8J58L509-8F71-G38U-6Q5X-6MFY5GW06FE5}" /inheritance:e /deny "Users:(R,REA,RA,RD)"
'%WINDIR%\syswow64\icacls.exe' "%HOMEPATH%\{8J58L509-8F71-G38U-6Q5X-6MFY5GW06FE5}" /inheritance:e /deny "user:(R,REA,RA,RD)"
'<SYSTEM32>\taskeng.exe' {7102C2A3-90CC-469B-995A-50B2A5AB7CC6} S-1-5-21-1960123792-2022915161-3775307078-1001:xlosyp\user:Interactive:[1]