Trojan.Siggen24.36434

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\taskhost
<SYSTEM32>\tasks\taskhostt
<SYSTEM32>\tasks\csrssc
<SYSTEM32>\tasks\csrss
<SYSTEM32>\tasks\lsass
<SYSTEM32>\tasks\lsassl
<SYSTEM32>\tasks\idlei
<SYSTEM32>\tasks\idle
<SYSTEM32>\tasks\<Имя файла>h
<SYSTEM32>\tasks\<Имя файла>

Изменения в файловой системе

Создает следующие файлы

<Текущая директория>\e2964d7e59d267
%HOMEPATH%\desktop\cqxoscda.log
%HOMEPATH%\desktop\wxuppwym.log
%HOMEPATH%\desktop\hwxadoop.log
%HOMEPATH%\desktop\beubaijb.log
%HOMEPATH%\desktop\cjpqhmet.log
%HOMEPATH%\desktop\hfqiosun.log
%HOMEPATH%\desktop\hqpcsypj.log
%HOMEPATH%\desktop\ptysbseq.log
%HOMEPATH%\desktop\zcrhluky.log
%HOMEPATH%\desktop\bxndpsku.log
%HOMEPATH%\desktop\lwqockay.log
%HOMEPATH%\desktop\wuuyqcqc.log
%HOMEPATH%\desktop\tweeftdx.log
%HOMEPATH%\desktop\mivbovhl.log
%TEMP%\wrtkaenglv.bat
%TEMP%\gskvd1f0ez
%ProgramFiles(x86)%\uninstall information\b75386f1303e64
%ProgramFiles(x86)%\uninstall information\taskhost.exe
%HOMEPATH%\application data\886983d96e3d3e
%HOMEPATH%\application data\csrss.exe
C:\recovery\4cc8e8a4-51d2-11ee-b826-9a90d4dcffb5\6203df4a6bafc7
C:\recovery\4cc8e8a4-51d2-11ee-b826-9a90d4dcffb5\lsass.exe
%WINDIR%\debug\wia\6ccacd8608530f
%WINDIR%\debug\wia\idle.exe
%ProgramFiles%\java\b75386f1303e64
%ProgramFiles%\java\taskhost.exe
nul
%HOMEPATH%\desktop\cpnzlhxi.log

Удаляет следующие файлы

%TEMP%\gskvd1f0ez

Сетевая активность

Подключается к

'01#####m.nyashland.top':80

TCP

Запросы HTTP POST

http://01#####m.nyashland.top/EternalLineLowgameDefaultsqlbaseasyncuniversal.php

UDP

DNS ASK 01#####m.nyashland.top
'localhost':123

Другое

Создает и запускает на исполнение

'C:\recovery\4cc8e8a4-51d2-11ee-b826-9a90d4dcffb5\lsass.exe'
'<SYSTEM32>\cmd.exe' /C "%TEMP%\WrTKaeNgLV.bat"' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\schtasks.exe' /create /tn "taskhostt" /sc MINUTE /mo 13 /tr "'%ProgramFiles(x86)%\Uninstall Information\taskhost.exe'" /f
'<SYSTEM32>\cmd.exe' /C "%TEMP%\WrTKaeNgLV.bat"
'<SYSTEM32>\schtasks.exe' /create /tn "<Имя файла>h" /sc MINUTE /mo 6 /tr "'<Полный путь к файлу>'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "<Имя файла>" /sc ONLOGON /tr "'<Полный путь к файлу>'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "<Имя файла>h" /sc MINUTE /mo 8 /tr "'<Полный путь к файлу>'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "taskhostt" /sc MINUTE /mo 5 /tr "'%ProgramFiles%\Java\taskhost.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "taskhost" /sc ONLOGON /tr "'%ProgramFiles%\Java\taskhost.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "taskhostt" /sc MINUTE /mo 11 /tr "'%ProgramFiles%\Java\taskhost.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "IdleI" /sc MINUTE /mo 8 /tr "'%WINDIR%\debug\WIA\Idle.exe'" /rl HIGHEST /f
'<SYSTEM32>\chcp.com' 65001
'<SYSTEM32>\schtasks.exe' /create /tn "Idle" /sc ONLOGON /tr "'%WINDIR%\debug\WIA\Idle.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "lsassl" /sc MINUTE /mo 7 /tr "'C:\Recovery\4cc8e8a4-51d2-11ee-b826-9a90d4dcffb5\lsass.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "lsass" /sc ONLOGON /tr "'C:\Recovery\4cc8e8a4-51d2-11ee-b826-9a90d4dcffb5\lsass.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "lsassl" /sc MINUTE /mo 12 /tr "'C:\Recovery\4cc8e8a4-51d2-11ee-b826-9a90d4dcffb5\lsass.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "csrssc" /sc MINUTE /mo 10 /tr "'%HOMEPATH%\Application Data\csrss.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "csrss" /sc ONLOGON /tr "'%HOMEPATH%\Application Data\csrss.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "csrssc" /sc MINUTE /mo 11 /tr "'%HOMEPATH%\Application Data\csrss.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "taskhostt" /sc MINUTE /mo 13 /tr "'%ProgramFiles(x86)%\Uninstall Information\taskhost.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "taskhost" /sc ONLOGON /tr "'%ProgramFiles(x86)%\Uninstall Information\taskhost.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "IdleI" /sc MINUTE /mo 9 /tr "'%WINDIR%\debug\WIA\Idle.exe'" /f
'<SYSTEM32>\w32tm.exe' /stripchart /computer:localhost /period:5 /dataonly /samples:2