Trojan.Siggen20.33851

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'SysHelper' = '"%LOCALAPPDATA%\03343e5b-d7e9-4522-8957-5fd614fee394\66AE.exe" --AutoStart'

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\firefox default browser agent 0f1b5bbf720cb2be
<SYSTEM32>\tasks\time trigger task
<SYSTEM32>\tasks\oneetx.exe
<SYSTEM32>\tasks\firefox default browser agent 0c44475755f9db9e

Вредоносные функции

Для затруднения выявления своего присутствия в системе

добавляет исключения антивируса:

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath @($env:UserProfile, $env:ProgramFiles) -Force

Внедряет код в

следующие системные процессы:

%WINDIR%\explorer.exe

следующие пользовательские процессы:

66ae.exe

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\ceubsic
%TEMP%\66ae.exe
%TEMP%\6e2e.exe
%LOCALAPPDATA%\03343e5b-d7e9-4522-8957-5fd614fee394\66ae.exe
%TEMP%\9454.exe
%TEMP%\oldplayer.exe
%TEMP%\ss31.exe
%TEMP%\xandetc.exe
%TEMP%\10180c8ca3\oneetx.exe
%TEMP%\a9e8.exe
%APPDATA%\daubsic
C:\systemid\personalid.txt

Присваивает атрибут 'скрытый' для следующих файлов

%APPDATA%\ceubsic
%APPDATA%\daubsic

Удаляет следующие файлы

<SYSTEM32>\tasks\time trigger task
%TEMP%\6e2e.exe

Самоудаляется.

Сетевая активность

Подключается к

'po###ulit.org':80
'ap#.#ims.com.sa':443
'ap#.2ip.ua':443
'45.#.74.80':80
'ua##y.top':80
'ze##q.com':80
'bz.###eioaag.com':80
'77.##.134.27':80
'aa#u.at':80
'fi####rusteedrx.ru':80
'ki###irate.ru':80
'ki###irate.ru':443
'fa###ook.com':443
'co###.iiagjaggg.com':80

TCP

Запросы HTTP GET

http://45.#.74.80/power.exe
http://ua##y.top/dl/build2.exe
http://ze##q.com/lancer/get.php?pi#############################################
http://ze##q.com/files/1/build3.exe
http://bz.###eioaag.com/sts/cimage.jpg

Запросы HTTP POST

http://po###ulit.org/
http://77.##.134.27/n9kdjc3xSf/index.php
http://aa#u.at/tmp/
http://fi####rusteedrx.ru/tmp/
http://ki###irate.ru/tmp/

Другие

'ap#.#ims.com.sa':443
'ap#.2ip.ua':443
'po###ulit.org':443
'fa###ook.com':443

UDP

DNS ASK po###ulit.org
DNS ASK ap#.#ims.com.sa
DNS ASK ap#.2ip.ua
DNS ASK ua##y.top
DNS ASK ze##q.com
DNS ASK bz.###eioaag.com
DNS ASK aa#u.at
DNS ASK po###neh.com
DNS ASK fi####rusteedrx.ru
DNS ASK ki###irate.ru
DNS ASK fa###ook.com
DNS ASK co###.iiagjaggg.com

Другое

Создает и запускает на исполнение

'%TEMP%\66ae.exe'
'%TEMP%\6e2e.exe'
'%TEMP%\66ae.exe' --Admin IsNotAutoStart IsNotTask
'%TEMP%\9454.exe'
'%TEMP%\oldplayer.exe'
'%TEMP%\ss31.exe'
'%TEMP%\xandetc.exe'
'%TEMP%\a9e8.exe'
'%TEMP%\10180c8ca3\oneetx.exe'
'%WINDIR%\syswow64\icacls.exe' "%LOCALAPPDATA%\03343e5b-d7e9-4522-8957-5fd614fee394" /deny *S-1-1-0:(OI)(CI)(DE,DC)' (со скрытым окном)
'%TEMP%\10180c8ca3\oneetx.exe' ' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /Create /SC MINUTE /MO 1 /TN oneetx.exe /TR "%TEMP%\10180c8ca3\oneetx.exe" /F' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\icacls.exe' "%LOCALAPPDATA%\03343e5b-d7e9-4522-8957-5fd614fee394" /deny *S-1-1-0:(OI)(CI)(DE,DC)
'<SYSTEM32>\schtasks.exe' /create /f /sc onlogon /rl highest /ru System /tn NoteUpdateTaskMachineQC /tr "'%ProgramFiles%\Notepad\Chrome\updater.exe'"
'<SYSTEM32>\reg.exe' delete "HKLM\SYSTEM\CurrentControlSet\Services\dosvc" /f
'<SYSTEM32>\reg.exe' delete "HKLM\SYSTEM\CurrentControlSet\Services\bits" /f
'<SYSTEM32>\reg.exe' delete "HKLM\SYSTEM\CurrentControlSet\Services\wuauserv" /f
'<SYSTEM32>\powercfg.exe' /x -standby-timeout-dc 0
'<SYSTEM32>\reg.exe' delete "HKLM\SYSTEM\CurrentControlSet\Services\WaaSMedicSvc" /f
'<SYSTEM32>\reg.exe' delete "HKLM\SYSTEM\CurrentControlSet\Services\UsoSvc" /f
'<SYSTEM32>\powercfg.exe' /x -standby-timeout-ac 0
'<SYSTEM32>\sc.exe' stop dosvc
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' <#iqegjinl#> IF((New-Object Security.Principal.WindowsPrincipal([Security.Principal.WindowsIdentity]::GetCurrent())).IsInRole([Security.Principal.WindowsBuiltInRole]::Administrator)) { schtasks...
'<SYSTEM32>\sc.exe' stop bits
'<SYSTEM32>\sc.exe' stop wuauserv
'<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-ac 0
'<SYSTEM32>\sc.exe' stop WaaSMedicSvc
'<SYSTEM32>\sc.exe' stop UsoSvc
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' <#wsyzqeupt#> IF((New-Object Security.Principal.WindowsPrincipal([Security.Principal.WindowsIdentity]::GetCurrent())).IsInRole([Security.Principal.WindowsBuiltInRole]::Administrator)) { IF([Sys...
'<SYSTEM32>\cmd.exe' /c powercfg /x -hibernate-timeout-ac 0 & powercfg /x -hibernate-timeout-dc 0 & powercfg /x -standby-timeout-ac 0 & powercfg /x -standby-timeout-dc 0
'<SYSTEM32>\cmd.exe' /c sc stop UsoSvc & sc stop WaaSMedicSvc & sc stop wuauserv & sc stop bits & sc stop dosvc & reg delete "HKLM\SYSTEM\CurrentControlSet\Services\UsoSvc" /f & reg delete "HKLM\SYSTEM\CurrentContr...
'<SYSTEM32>\taskeng.exe' {FD8D33A9-E930-4EE9-A103-2ED0DC3CC68A} S-1-5-21-1960123792-2022915161-3775307078-1001:rhwujy\user:Interactive:[1]
'%WINDIR%\syswow64\schtasks.exe' /Create /SC MINUTE /MO 1 /TN oneetx.exe /TR "%TEMP%\10180c8ca3\oneetx.exe" /F
'<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-dc 0
'<SYSTEM32>\schtasks.exe' /run /tn NoteUpdateTaskMachineQC