Trojan.Siggen26.19098

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\nvprofileupdateron_301144044785783218503298867456040374245
<SYSTEM32>\tasks\nvprofileupdateron_121587235245437727377667901351731263423
<SYSTEM32>\tasks\nvprofileupdateron_6245311241072045040609830323745785466
<SYSTEM32>\tasks\nvprofileupdateron_265153029932723591986684710027027145453
<SYSTEM32>\tasks\nvprofileupdateron_127716929562331750295873076494976861674
<SYSTEM32>\tasks\nvprofileupdateron_47799739981192872221848964556683155052
<SYSTEM32>\tasks\nvprofileupdateron_119112781917321729836033726710761685554
<SYSTEM32>\tasks\nvprofileupdateron_154458241492666831666391806469943532354

Вредоносные функции

Для затруднения выявления своего присутствия в системе

добавляет исключения антивируса:

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionPath %LOCALAPPDATA%\Temp"
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath C:\Users\
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath %WINDIR%\
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath "%ProgramFiles%\\"
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath "%ProgramFiles(x86)%\\"

Изменения в файловой системе

Создает следующие файлы

%CommonProgramFiles%\dwm.exe
C:\users\public\dwm.exe
%ProgramFiles(x86)%\dwm.exe
%ProgramFiles%\dwm.exe
%HOMEPATH%\dwm.exe
%TEMP%\dwm.exe
%LOCALAPPDATA%\dwm.exe
%TEMP%\svchoster.exe

Сетевая активность

Подключается к

'no###lware.top':80
'94.##6.69.109':4372

TCP

Запросы HTTP GET

http://no###lware.top/info.txt
http://ba####.notmalware.top/info.txt
http://no###lware.top/socks32.exe
http://no###lware.top/min.bin

Запросы HTTP POST

http://no###lware.top/info.php

Другие

'94.##6.69.109':4372

UDP

DNS ASK no###lware.top
DNS ASK ba####.notmalware.top

Другое

Создает и запускает на исполнение

'%TEMP%\svchoster.exe'

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /C schtasks /create /sc hourly /mo 1 /tn NvProfileUpdaterOn_119112781917321729836033726710761685554 /tr "C:\\Program Files\\Common Files\\dwm.exe"
'<SYSTEM32>\cmd.exe' /C %TEMP%\sihosting.exe
'<SYSTEM32>\cmd.exe' /C %TEMP%\svchoster.exe
'<SYSTEM32>\schtasks.exe' /create /sc hourly /mo 1 /tn NvProfileUpdaterOn_6245311241072045040609830323745785466 /tr C:\\Users\\user\\AppData\\Local\\dwm.exe
'<SYSTEM32>\schtasks.exe' /create /sc hourly /mo 1 /tn NvProfileUpdaterOn_154458241492666831666391806469943532354 /tr C:\\Users\\user\\AppData\\Local\\Temp\\dwm.exe
'<SYSTEM32>\schtasks.exe' /create /sc hourly /mo 1 /tn NvProfileUpdaterOn_265153029932723591986684710027027145453 /tr "C:\\Program Files\\dwm.exe"
'<SYSTEM32>\schtasks.exe' /create /sc hourly /mo 1 /tn NvProfileUpdaterOn_127716929562331750295873076494976861674 /tr C:\\Users\\user\\dwm.exe
'<SYSTEM32>\cmd.exe' /C schtasks /create /sc hourly /mo 1 /tn NvProfileUpdaterOn_6245311241072045040609830323745785466 /tr C:\\Users\\user\\AppData\\Local\\dwm.exe
'<SYSTEM32>\cmd.exe' /C schtasks /create /sc hourly /mo 1 /tn NvProfileUpdaterOn_154458241492666831666391806469943532354 /tr C:\\Users\\user\\AppData\\Local\\Temp\\dwm.exe
'<SYSTEM32>\schtasks.exe' /create /sc hourly /mo 1 /tn NvProfileUpdaterOn_121587235245437727377667901351731263423 /tr "C:\\Program Files\\dwm.exe"
'<SYSTEM32>\schtasks.exe' /create /sc hourly /mo 1 /tn NvProfileUpdaterOn_119112781917321729836033726710761685554 /tr "C:\\Program Files\\Common Files\\dwm.exe"
'<SYSTEM32>\schtasks.exe' /create /sc hourly /mo 1 /tn NvProfileUpdaterOn_301144044785783218503298867456040374245 /tr C:\\Users\\Public\\dwm.exe
'<SYSTEM32>\schtasks.exe' /create /sc hourly /mo 1 /tn NvProfileUpdaterOn_47799739981192872221848964556683155052 /tr "C:\\Program Files (x86)\\dwm.exe"
'<SYSTEM32>\cmd.exe' /C schtasks /create /sc hourly /mo 1 /tn NvProfileUpdaterOn_265153029932723591986684710027027145453 /tr "C:\\Program Files\\dwm.exe"
'<SYSTEM32>\cmd.exe' /C schtasks /create /sc hourly /mo 1 /tn NvProfileUpdaterOn_127716929562331750295873076494976861674 /tr C:\\Users\\user\\dwm.exe
'<SYSTEM32>\cmd.exe' /C schtasks /create /sc hourly /mo 1 /tn NvProfileUpdaterOn_121587235245437727377667901351731263423 /tr "C:\\Program Files\\dwm.exe"
'<SYSTEM32>\cmd.exe' /C schtasks /create /sc hourly /mo 1 /tn NvProfileUpdaterOn_47799739981192872221848964556683155052 /tr "C:\\Program Files (x86)\\dwm.exe"
'<SYSTEM32>\cmd.exe' /C schtasks /create /sc hourly /mo 1 /tn NvProfileUpdaterOn_301144044785783218503298867456040374245 /tr C:\\Users\\Public\\dwm.exe
'<SYSTEM32>\cmd.exe' /C C:\Users\Public\disable.exe
'<SYSTEM32>\cmd.exe' /C powershell -Command "Add-MpPreference -ExclusionPath %temp%"