Trojan.Siggen27.2533

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[HKLM\System\CurrentControlSet\Services\iNode DAM Agent] 'Start' = '00000002'
[HKLM\System\CurrentControlSet\Services\iNode DAM Agent] 'ImagePath' = '"C:\iNode DAM Agent\54073432E105F4418F6A7BB050824FD5\DamAgent.exe" -startService'

Создает следующие сервисы

'iNode DAM Agent' "C:\iNode DAM Agent\54073432E105F4418F6A7BB050824FD5\DamAgent.exe" -startService

Вредоносные функции

Запускает на исполнение

'%WINDIR%\syswow64\taskkill.exe' /F /IM "iNodeLvdun.exe"
'%WINDIR%\syswow64\taskkill.exe' /F /IM "iNodeDlpAgent.exe"
'%WINDIR%\syswow64\taskkill.exe' /F /IM "LdMainControl.exe"
'%WINDIR%\syswow64\taskkill.exe' /F /IM "ldbusiness_32.exe"
'%WINDIR%\syswow64\taskkill.exe' /F /IM "ldbusiness_64.exe"
'%WINDIR%\syswow64\taskkill.exe' /F /IM "LdContentAware.exe"
'%WINDIR%\syswow64\taskkill.exe' /F /IM "LdFileGate.exe"
'%WINDIR%\syswow64\taskkill.exe' /F /IM "LdMsgInject.exe"
'%WINDIR%\syswow64\taskkill.exe' /F /IM "LdMsgInject64.exe"

Изменения в файловой системе

Создает следующие файлы

C:\inodelog\stp_utlsvrhelp2024030206.log
C:\inode dam agent\54073432e105f4418f6a7bb050824fd5\data\assetinfosnap.xml
C:\inode dam agent\54073432e105f4418f6a7bb050824fd5\softdlvrmng\softdlvrmng.ini
C:\inode dam agent\54073432e105f4418f6a7bb050824fd5\data\devmanager.ini
C:\inode dam agent\54073432e105f4418f6a7bb050824fd5\log\dampkt.2024030206.log
C:\inode dam agent\54073432e105f4418f6a7bb050824fd5\log\damagent.2024030206.log
<SYSTEM32>\chkread.dll
%WINDIR%\syswow64\chkread.dll
%WINDIR%\syswow64\apiread.exe
%WINDIR%\syswow64\hssvchost.exe
%WINDIR%\syswow64\damagenttray.exe
<SYSTEM32>\damagent.exe
%WINDIR%\syswow64\damagent.exe
C:\inode dam agent\54073432e105f4418f6a7bb050824fd5\data\assetinfopacket.txt
C:\inode dam agent\54073432e105f4418f6a7bb050824fd5\chkread.dll
C:\inode dam agent\54073432e105f4418f6a7bb050824fd5\svchost.exe
C:\inode dam agent\54073432e105f4418f6a7bb050824fd5\damagent_en.res
C:\inode dam agent\54073432e105f4418f6a7bb050824fd5\damagent_zh.res
C:\inode dam agent\54073432e105f4418f6a7bb050824fd5\damagent.ini
C:\inode dam agent\54073432e105f4418f6a7bb050824fd5\languages.ini
C:\inode dam agent\54073432e105f4418f6a7bb050824fd5\shut2003.exe
C:\inode dam agent\54073432e105f4418f6a7bb050824fd5\damassist.exe
C:\inode dam agent\54073432e105f4418f6a7bb050824fd5\damagenttray.exe
C:\inode dam agent\54073432e105f4418f6a7bb050824fd5\damagent64.exe
C:\inode dam agent\54073432e105f4418f6a7bb050824fd5\damagent32.exe
C:\inodelog\stp_utlfile2024030206.log
C:\inodelog\damsetup2024030206.log
C:\inode dam agent\54073432e105f4418f6a7bb050824fd5\apiread.exe
C:\inode dam agent\54073432e105f4418f6a7bb050824fd5\data\assetinfomap.aim

Перемещает следующие файлы

C:\inode dam agent\54073432e105f4418f6a7bb050824fd5\damagent_en.res в C:\inode dam agent\54073432e105f4418f6a7bb050824fd5\resources\en-us\damagent.res
C:\inode dam agent\54073432e105f4418f6a7bb050824fd5\damagent_zh.res в C:\inode dam agent\54073432e105f4418f6a7bb050824fd5\resources\zh-cn\damagent.res
C:\inode dam agent\54073432e105f4418f6a7bb050824fd5\damagent64.exe в C:\inode dam agent\54073432e105f4418f6a7bb050824fd5\damagent.exe

Сетевая активность

UDP

DNS ASK da#.h3c.com
DNS ASK microsoft.com
'da#.h3c.com':9029

Другое

Ищет следующие окна

ClassName: '' WindowName: ''

Создает и запускает на исполнение

'C:\inode dam agent\54073432e105f4418f6a7bb050824fd5\damagent.exe'
'C:\inode dam agent\54073432e105f4418f6a7bb050824fd5\damagent.exe' -startService
'C:\inode dam agent\54073432e105f4418f6a7bb050824fd5\svchost.exe' Microsoft
'%WINDIR%\syswow64\taskkill.exe' /F /IM "iNodeLvdun.exe"' (со скрытым окном)
'%WINDIR%\syswow64\taskkill.exe' /F /IM "iNodeDlpAgent.exe"' (со скрытым окном)
'%WINDIR%\syswow64\taskkill.exe' /F /IM "LdMainControl.exe"' (со скрытым окном)
'%WINDIR%\syswow64\taskkill.exe' /F /IM "ldbusiness_32.exe"' (со скрытым окном)
'%WINDIR%\syswow64\taskkill.exe' /F /IM "ldbusiness_64.exe"' (со скрытым окном)
'%WINDIR%\syswow64\taskkill.exe' /F /IM "LdContentAware.exe"' (со скрытым окном)
'%WINDIR%\syswow64\taskkill.exe' /F /IM "LdFileGate.exe"' (со скрытым окном)
'%WINDIR%\syswow64\taskkill.exe' /F /IM "LdMsgInject.exe"' (со скрытым окном)
'%WINDIR%\syswow64\taskkill.exe' /F /IM "LdMsgInject64.exe"' (со скрытым окном)
'C:\inode dam agent\54073432e105f4418f6a7bb050824fd5\damagent.exe' ' (со скрытым окном)
'C:\inode dam agent\54073432e105f4418f6a7bb050824fd5\svchost.exe' Microsoft' (со скрытым окном)
'<SYSTEM32>\mountvol.exe' /L' (со скрытым окном)
'<SYSTEM32>\netstat.exe' -ano' (со скрытым окном)