Trojan.Siggen19.53998

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'Runtime Broker' = '%ALLUSERSPROFILE%\Microsoft\Runtime Broker.exe'

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\update
<SYSTEM32>\tasks\dialersvc32
<SYSTEM32>\tasks\dialersvc64

Вредоносные функции

Внедряет код в

следующие системные процессы:

<SYSTEM32>\conhost.exe

Изменения в файловой системе

Создает следующие файлы

%WINDIR%\update service.exe
%TEMP%\_mei23482\python311.dll
%TEMP%\_mei23482\pywin32_system32\pywintypes311.dll
%TEMP%\_mei23482\select.pyd
%TEMP%\_mei23482\sqlite3.dll
%TEMP%\_mei23482\unicodedata.pyd
%TEMP%\_mei23482\win32crypt.pyd
%TEMP%\_mei23482\base_library.zip
%TEMP%\_mei23482\_bz2.pyd
%TEMP%\_mei23482\config.json
%TEMP%\_mei23482\getpass
%TEMP%\_mei23482\injection-obfuscated.js
%ALLUSERSPROFILE%\microsoft\runtime broker.exe
%TEMP%\tmpe0ec.tmp.bat
nul
%TEMP%\_mei23482\libssl-1_1.dll
%TEMP%\_mei23482\libcrypto-1_1.dll
%TEMP%\_mei23482\_ssl.pyd
%TEMP%\_mei23482\_sqlite3.pyd
%TEMP%\_mei23482\_socket.pyd
%TEMP%\_mei23482\_queue.pyd
%TEMP%\_mei23482\_lzma.pyd
%TEMP%\_mei23482\_hashlib.pyd
%TEMP%\_mei23482\_decimal.pyd
%TEMP%\_mei23482\camera
%TEMP%\_mei23482\vcruntime140.dll
%TEMP%\_mei23482\pil\_webp.cp311-win_amd64.pyd
%TEMP%\_mei23482\pil\_imagingtk.cp311-win_amd64.pyd
%TEMP%\_mei23482\pil\_imagingcms.cp311-win_amd64.pyd
%TEMP%\_mei23482\pil\_imaging.cp311-win_amd64.pyd
%WINDIR%\runtime broker.exe
%WINDIR%\dllhost.exe
%CommonProgramFiles%\system\updater.exe
%TEMP%\vwtoambh.tmp

Удаляет следующие файлы

%WINDIR%\runtime broker.exe
%WINDIR%\update service.exe

Изменяет файл HOSTS.

Другое

Создает и запускает на исполнение

'%WINDIR%\update service.exe'
'%WINDIR%\dllhost.exe'
'%WINDIR%\runtime broker.exe'
'%ALLUSERSPROFILE%\microsoft\runtime broker.exe'
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -EncodedCommand "PAAjAHgAcQBqACMAPgBBAGQAZAAtAE0AcABQAHIAZQBmAGUAcgBlAG4AYwBlACAAPAAjAGoAbAB0ACMAPgAgAC0ARQB4AGMAbAB1AHMAaQBvAG4AUABhAHQAaAAgAEAAKAAkAGUAbgB2ADoAVQBzAGUAcgBQAHIAbwBmAGkAbABlACwA...' (со скрытым окном)
'%WINDIR%\update service.exe' ' (со скрытым окном)
'%WINDIR%\dllhost.exe' ' (со скрытым окном)
'%WINDIR%\runtime broker.exe' ' (со скрытым окном)
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' "[Reflection.Assembly]::Load([Microsoft.Win32.Registry]::LocalMachine.OpenSubkey(''+[Char](83)+''+[Char](79)+'F'+'T'+''+'W'+''+[Char](65)+''+'R'+'E').GetValue('d'+[Char](105)+''+'a'+'l'+[Char](...' (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' "[Reflection.Assembly]::Load([Microsoft.Win32.Registry]::LocalMachine.OpenSubkey(''+'S'+''+'O'+''+'F'+''+'T'+'WA'+'R'+'E').GetValue(''+[Char](100)+''+[Char](105)+''+'a'+''+[Char](108)+''+[Char]...' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -EncodedCommand "PAAjAHgAcQBqACMAPgBBAGQAZAAtAE0AcABQAHIAZQBmAGUAcgBlAG4AYwBlACAAPAAjAGoAbAB0ACMAPgAgAC0ARQB4AGMAbAB1AHMAaQBvAG4AUABhAHQAaAAgAEAAKAAkAGUAbgB2ADoAVQBzAGUAcgBQAHIAbwBmAGkAbABlACwA...
'<SYSTEM32>\cmd.exe' /c choice /C Y /N /D Y /T 3 & Del "%WINDIR%\Update Service.exe"
'<SYSTEM32>\dialer.exe'
'<SYSTEM32>\schtasks.exe' /create /f /sc onlogon /rl highest /ru System /tn Update /tr "'%CommonProgramFiles%\System\Updater.exe'"
'<SYSTEM32>\powercfg.exe' /x -standby-timeout-dc 0
'<SYSTEM32>\reg.exe' delete "HKLM\SYSTEM\CurrentControlSet\Services\dosvc" /f
'<SYSTEM32>\reg.exe' delete "HKLM\SYSTEM\CurrentControlSet\Services\bits" /f
'<SYSTEM32>\reg.exe' delete "HKLM\SYSTEM\CurrentControlSet\Services\wuauserv" /f
'<SYSTEM32>\reg.exe' delete "HKLM\SYSTEM\CurrentControlSet\Services\WaaSMedicSvc" /f
'<SYSTEM32>\reg.exe' delete "HKLM\SYSTEM\CurrentControlSet\Services\UsoSvc" /f
'<SYSTEM32>\powercfg.exe' /x -standby-timeout-ac 0
'<SYSTEM32>\sc.exe' stop dosvc
'<SYSTEM32>\choice.exe' /C Y /N /D Y /T 3
'<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-dc 0
'<SYSTEM32>\sc.exe' stop wuauserv
'<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-ac 0
'<SYSTEM32>\sc.exe' stop WaaSMedicSvc
'<SYSTEM32>\sc.exe' stop UsoSvc
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' <#elnjx#> IF((New-Object Security.Principal.WindowsPrincipal([Security.Principal.WindowsIdentity]::GetCurrent())).IsInRole([Security.Principal.WindowsBuiltInRole]::Administrator)) { IF([System....
'<SYSTEM32>\cmd.exe' /c powercfg /x -hibernate-timeout-ac 0 & powercfg /x -hibernate-timeout-dc 0 & powercfg /x -standby-timeout-ac 0 & powercfg /x -standby-timeout-dc 0
'<SYSTEM32>\cmd.exe' /c sc stop UsoSvc & sc stop WaaSMedicSvc & sc stop wuauserv & sc stop bits & sc stop dosvc & reg delete "HKLM\SYSTEM\CurrentControlSet\Services\UsoSvc" /f & reg delete "HKLM\SYSTEM\CurrentContr...
'<SYSTEM32>\timeout.exe' 7
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath @($env:UserProfile, $env:ProgramFiles) -Force
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\tmpE0EC.tmp.bat""
'<SYSTEM32>\schtasks.exe' /create /tn Runtime Broker /tr "%ALLUSERSPROFILE%\Microsoft\Runtime Broker.exe" /st 21:51 /du 23:59 /sc daily /ri 1 /f
'<SYSTEM32>\sc.exe' stop bits
'<SYSTEM32>\dllhost.exe' /Processid:{8b4aeaa5-2140-453e-865c-47c657101864}