Trojan.Siggen21.53642

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\okay-assistant-once-work2-s-1-5-21-1238866942-1249195528-555854008-1000

Вредоносные функции

Запускает на исполнение

'<SYSTEM32>\taskkill.exe' /IM iexplore.exe /FI "USERNAME eq user" /F
'<SYSTEM32>\taskkill.exe' /IM msedge.exe /FI "USERNAME eq user" /F

Завершает или пытается завершить

следующие пользовательские процессы:

iexplore.exe

Изменяет следующие настройки браузера Windows Internet Explorer

[HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyServer' = '127.0.0.1:10801'
[HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyEnable' = '00000001'

Изменения в файловой системе

Создает следующие файлы

%HOMEPATH%\documents\okay-assistant\data\bat-copy-main-process.bat
%HOMEPATH%\documents\okay-assistant\data\okay-assistant-proxy.exe
%HOMEPATH%\documents\okay-assistant\data\bat-電腦的網路設定視窗-開啟.bat
%HOMEPATH%\documents\okay-assistant\okay-assistant-stop.bat
%HOMEPATH%\documents\okay-assistant\data\bat-proxy-clear.bat
%HOMEPATH%\documents\okay-assistant\data\bat-電腦的網路代理設定-清除.bat
%HOMEPATH%\documents\okay-assistant\data\bat-電腦的網路代理設定-啟用.bat
%HOMEPATH%\documents\okay-assistant\data\geoip-pri.dat
%HOMEPATH%\documents\okay-assistant\data\geosite.dat
%HOMEPATH%\documents\okay-assistant\data\config.json
%HOMEPATH%\documents\okay-assistant\data\okay-assistant-proxy.exe.encode
%HOMEPATH%\documents\okay-assistant\data\version.txt
%HOMEPATH%\documents\okay-assistant\data\windows-lan-proxy.png
%HOMEPATH%\documents\okay-assistant\data\temp\version.txt
%HOMEPATH%\documents\okay-assistant\data\bat-schtasks-once-work2.bat.output.log
nul
%HOMEPATH%\documents\okay-assistant\okay-assistant-start.exe
%HOMEPATH%\documents\okay-assistant\data\bat-schtasks-once-work2.bat
%HOMEPATH%\documents\okay-assistant\data\bat-copy-main-process.bat.output.log
%HOMEPATH%\documents\okay-assistant\data\bat-common-admin.bat
%HOMEPATH%\documents\okay-assistant\data\bat-create-link.bat
%HOMEPATH%\documents\okay-assistant\data\okay-assistant-always-enable.bat
%HOMEPATH%\documents\okay-assistant\data\enable.txt
%HOMEPATH%\documents\okay-assistant\data\bat-電腦的網路代理設定-啟用.bat.output.log

Удаляет следующие файлы

<SYSTEM32>\tasks\okay-assistant-once-work2-s-1-5-21-1238866942-1249195528-555854008-1000

Сетевая активность

Подключается к

'pd##########be.oss-cn-shenzhen.aliyuncs.com':443
'localhost':10801

TCP

Другие

'pd##########be.oss-cn-shenzhen.aliyuncs.com':443

UDP

DNS ASK pd##########be.oss-cn-shenzhen.aliyuncs.com

Другое

Ищет следующие окна

ClassName: '' WindowName: ''

Создает и запускает на исполнение

'%HOMEPATH%\documents\okay-assistant\data\okay-assistant-proxy.exe' run -port=10801

Запускает на исполнение

'<SYSTEM32>\tasklist.exe' /NH /FI "IMAGENAME eq OKay-Assistant-Start.exe" /FI "USERNAME eq ucrkjol\user"
'<SYSTEM32>\tasklist.exe' /NH /FI "IMAGENAME eq OKay-Assistant-Init.exe" /FI "USERNAME eq ucrkjol\user"
'<SYSTEM32>\tasklist.exe' /NH /FI "IMAGENAME eq OKay-Assistant-Proxy.exe" /FI "USERNAME eq ucrkjol\user"
'<SYSTEM32>\cmd.exe' /c %HOMEPATH%\Documents\OKay-Assistant\Data\bat-copy-main-process.bat
'<SYSTEM32>\cmd.exe' /c %HOMEPATH%\Documents\OKay-Assistant\Data\bat-schtasks-once-work2.bat
'<SYSTEM32>\cacls.exe' "<SYSTEM32>\config\system"
'<SYSTEM32>\schtasks.exe' /Create /TN OKay-Assistant-once-work2-S-1-5-21-1238866942-1249195528-555854008-1000 /tr %HOMEPATH%\Documents\OKay-Assistant\Data\bat-common-admin.bat /sc ONCE /ST 23:59 /RU user /RL HIGHEST /F
'<SYSTEM32>\schtasks.exe' /Run /TN OKay-Assistant-once-work2-S-1-5-21-1238866942-1249195528-555854008-1000
'<SYSTEM32>\taskeng.exe' {89D1ED31-AF20-4B73-8DCD-E83BD2602FB6} S-1-5-21-1238866942-1249195528-555854008-1000:ucrkjol\user:Interactive:[1]
'<SYSTEM32>\schtasks.exe' /Delete /TN OKay-Assistant-once-work2-S-1-5-21-1238866942-1249195528-555854008-1000 /F
'<SYSTEM32>\cmd.exe' /C start /b %HOMEPATH%\Documents\OKay-Assistant\Data\OKay-Assistant-Proxy.exe run -port=10801
'<SYSTEM32>\cmd.exe' /c %HOMEPATH%\Documents\OKay-Assistant\Data\bat-電腦的網路代理設定-啟用.bat
'<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyServer /t REG_SZ /d "127.0.0.1:10801" /f
'<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyEnable /t REG_DWORD /d 1 /f
'<SYSTEM32>\timeout.exe' /t 1 /nobreak
'%ProgramFiles%\internet explorer\iexplore.exe' res://iesetup.dll/HardAdmin.htm