BackDoor.SiggenNET.77

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\taskhostt
<SYSTEM32>\tasks\taskhost
<SYSTEM32>\tasks\winlogonw
<SYSTEM32>\tasks\winlogon
<SYSTEM32>\tasks\wininitw
<SYSTEM32>\tasks\wininit
<SYSTEM32>\tasks\iexplorei
<SYSTEM32>\tasks\lsassl
<SYSTEM32>\tasks\iexplore
<SYSTEM32>\tasks\lsass

Изменения в файловой системе

Создает следующие файлы

C:\bridgeportproviderbrowserreview\surrogateagentsessionruntime.exe
<Текущая директория>\iexplore.exe
<Текущая директория>\9db6e019d4f04e
%TEMP%\ysu2nrdnxu
%TEMP%\ct4boh733k.bat
nul
%HOMEPATH%\desktop\kcwsyjdz.log
%HOMEPATH%\desktop\cygmcoge.log
%HOMEPATH%\desktop\tpmwtmaw.log
%HOMEPATH%\desktop\klehjslp.log
%HOMEPATH%\desktop\rurbpnaa.log
%HOMEPATH%\desktop\iqjlfuks.log
%HOMEPATH%\desktop\pzwflpad.log
%HOMEPATH%\desktop\ngbbrjjp.log
%HOMEPATH%\desktop\poxlijfh.log
%HOMEPATH%\desktop\otbqelfl.log
%HOMEPATH%\desktop\fptavrpd.log
%HOMEPATH%\desktop\mygubmfo.log
%HOMEPATH%\desktop\liwzxxus.log
%HOMEPATH%\desktop\jnbeuzuv.log
%HOMEPATH%\desktop\atitgqus.log
%HOMEPATH%\desktop\cvvcczyn.log
%HOMEPATH%\desktop\bfkhykor.log
%HOMEPATH%\desktop\zkpmvmnu.log
%HOMEPATH%\desktop\pmlbiuyq.log
%HOMEPATH%\desktop\pbmgeodu.log
%HOMEPATH%\desktop\plcmazsy.log
C:\recovery\fc7d0508-3f8d-11ed-bf82-c9aa0b5639b5\lsass.exe
C:\recovery\fc7d0508-3f8d-11ed-bf82-c9aa0b5639b5\6203df4a6bafc7
C:\bridgeportproviderbrowserreview\56085415360792
C:\bridgeportproviderbrowserreview\wininit.exe
C:\msocache\all users\cc11b995f2a76d
C:\bridgeportproviderbrowserreview\m1iy5kfbaraoe3u2jlrn5usugfi3dhauufwjlomgbchaxuv.bat
%HOMEPATH%\desktop\nvxqvttt.log
%HOMEPATH%\desktop\wintqwqr.log
%HOMEPATH%\desktop\offegdaj.log
%HOMEPATH%\desktop\draowrfb.log
%HOMEPATH%\desktop\vctejsuy.log
%HOMEPATH%\desktop\luzozppq.log
%HOMEPATH%\desktop\jzesvrpu.log
%HOMEPATH%\desktop\qhrmbmee.log
%HOMEPATH%\desktop\qwssygjj.log
%HOMEPATH%\desktop\prhryxui.log
%HOMEPATH%\desktop\hozcodeb.log
%HOMEPATH%\desktop\mbglahnx.log
%HOMEPATH%\desktop\wwkfoeus.log
%HOMEPATH%\desktop\owmwuyum.log
%HOMEPATH%\desktop\hugaztdi.log
%HOMEPATH%\desktop\gewfwetl.log
%HOMEPATH%\desktop\ejbksgsp.log
%HOMEPATH%\desktop\cogoohss.log
%HOMEPATH%\desktop\njbsqerz.log
%HOMEPATH%\desktop\ntrxnohd.log
%HOMEPATH%\desktop\tcertjwn.log
%HOMEPATH%\desktop\cunmzxrz.log
%HOMEPATH%\desktop\cfdrwigc.log
<Текущая директория>\taskhost.exe
<Текущая директория>\b75386f1303e64
C:\msocache\all users\winlogon.exe
C:\bridgeportproviderbrowserreview\o73nopfecrrvgaeewrrapaq6xtqtdh2mwqq5smrgk.vbe
%HOMEPATH%\desktop\nvchndou.log
%HOMEPATH%\desktop\emybnhcu.log

Удаляет следующие файлы

%TEMP%\ysu2nrdnxu

Сетевая активность

Подключается к

'88.##8.62.50':80

TCP

Запросы HTTP POST

http://88.##8.62.50/downloadsBetter/Linux/To0http/datalife_game2/58Track/4ToGenerator/cpuAsyncwordpresslinux/apiGame/Vmcdn/to3Voiddbvideo/MariadbBettertest0/LongpollUpdate6test/7/Pipe_4Base/Upd...

Другое

Ищет следующие окна

ClassName: 'EDIT' WindowName: ''

Создает и запускает на исполнение

'%WINDIR%\syswow64\wscript.exe' "C:\bridgePortProviderbrowserReview\O73NoPFEcrRVgaeEWrRAPaq6xTqTDH2MWQq5SmRgk.vbe"
'C:\bridgeportproviderbrowserreview\surrogateagentsessionruntime.exe'
'<Текущая директория>\taskhost.exe'
'%WINDIR%\syswow64\cmd.exe' /c ""C:\bridgePortProviderbrowserReview\M1Iy5KfBaRaOE3U2Jlrn5UsugfI3DhaUufwJLOmGBCHAXUv.bat" "' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C "%TEMP%\cT4bOH733K.bat"' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c ""C:\bridgePortProviderbrowserReview\M1Iy5KfBaRaOE3U2Jlrn5UsugfI3DhaUufwJLOmGBCHAXUv.bat" "
'<SYSTEM32>\cmd.exe' /C "%TEMP%\cT4bOH733K.bat"
'<SYSTEM32>\schtasks.exe' /create /tn "iexplorei" /sc MINUTE /mo 7 /tr "'<Текущая директория>\iexplore.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "iexplore" /sc ONLOGON /tr "'<Текущая директория>\iexplore.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "iexplorei" /sc MINUTE /mo 8 /tr "'<Текущая директория>\iexplore.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "lsassl" /sc MINUTE /mo 11 /tr "'C:\Recovery\fc7d0508-3f8d-11ed-bf82-c9aa0b5639b5\lsass.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "lsass" /sc ONLOGON /tr "'C:\Recovery\fc7d0508-3f8d-11ed-bf82-c9aa0b5639b5\lsass.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "lsassl" /sc MINUTE /mo 9 /tr "'C:\Recovery\fc7d0508-3f8d-11ed-bf82-c9aa0b5639b5\lsass.exe'" /f
'<SYSTEM32>\chcp.com' 65001
'<SYSTEM32>\schtasks.exe' /create /tn "wininitw" /sc MINUTE /mo 9 /tr "'C:\bridgePortProviderbrowserReview\wininit.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "wininitw" /sc MINUTE /mo 6 /tr "'C:\bridgePortProviderbrowserReview\wininit.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "winlogonw" /sc MINUTE /mo 10 /tr "'C:\MSOCache\All Users\winlogon.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "winlogon" /sc ONLOGON /tr "'C:\MSOCache\All Users\winlogon.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "winlogonw" /sc MINUTE /mo 11 /tr "'C:\MSOCache\All Users\winlogon.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "taskhostt" /sc MINUTE /mo 5 /tr "'<Текущая директория>\taskhost.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "taskhost" /sc ONLOGON /tr "'<Текущая директория>\taskhost.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "taskhostt" /sc MINUTE /mo 7 /tr "'<Текущая директория>\taskhost.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "wininit" /sc ONLOGON /tr "'C:\bridgePortProviderbrowserReview\wininit.exe'" /rl HIGHEST /f
'<SYSTEM32>\ping.exe' -n 10 localhost