Trojan.Siggen22.57394

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'csrss' = '"%WINDIR%\PCHEALTH\ERRORREP\QSIGNOFF\csrss.exe"'
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'csrss' = '"%WINDIR%\PCHEALTH\ERRORREP\QSIGNOFF\csrss.exe"'
[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "%WINDIR%\PCHEALTH\ERRORREP\QSIGNOFF\csrss.exe"'
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'firefox' = '"<Текущая директория>\firefox.exe"'
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'firefox' = '"<Текущая директория>\firefox.exe"'
[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "%WINDIR%\PCHEALTH\ERRORREP\QSIGNOFF\csrss.exe", "<Текущая директория>\firefox.exe"'
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'services' = '"%ProgramFiles%\Windows NT\services.exe"'
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'services' = '"%ProgramFiles%\Windows NT\services.exe"'
[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "%WINDIR%\PCHEALTH\ERRORREP\QSIGNOFF\csrss.exe", "<Текущая директория>\firefox.exe", "%ProgramFiles%\Window...
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'lsm' = '"C:\Recovery\fc7d0508-3f8d-11ed-bf82-c9aa0b5639b5\lsm.exe"'
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'lsm' = '"C:\Recovery\fc7d0508-3f8d-11ed-bf82-c9aa0b5639b5\lsm.exe"'
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'dwm' = '"C:\MSOCache\All Users\{90140000-0043-0409-1000-0000000FF1CE}-C\dwm.exe"'
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'dwm' = '"C:\MSOCache\All Users\{90140000-0043-0409-1000-0000000FF1CE}-C\dwm.exe"'

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\csrssc
<SYSTEM32>\tasks\csrss
<SYSTEM32>\tasks\firefoxf
<SYSTEM32>\tasks\lsm
<SYSTEM32>\tasks\dwmd
<SYSTEM32>\tasks\firefox
<SYSTEM32>\tasks\servicess
<SYSTEM32>\tasks\services
<SYSTEM32>\tasks\dwm
<SYSTEM32>\tasks\lsml

Изменения в файловой системе

Создает следующие файлы

%WINDIR%\pchealth\errorrep\qsignoff\csrss.exe
%HOMEPATH%\desktop\rtuupewd.log
%HOMEPATH%\desktop\axdjzxml.log
%HOMEPATH%\desktop\jalzjrcs.log
%HOMEPATH%\desktop\sjepttha.log
%HOMEPATH%\desktop\cstoklrh.log
nul
%TEMP%\jvgtgmtlwd.bat
%TEMP%\d8habduboe
%TEMP%\bswlrowr.out
%HOMEPATH%\desktop\jpmeflhw.log
%TEMP%\bswlrowr.cmdline
C:\msocache\all users\{90140000-0043-0409-1000-0000000ff1ce}-c\6cb0b6c459d5d3
C:\msocache\all users\{90140000-0043-0409-1000-0000000ff1ce}-c\dwm.exe
C:\recovery\fc7d0508-3f8d-11ed-bf82-c9aa0b5639b5\101b941d020240
C:\recovery\fc7d0508-3f8d-11ed-bf82-c9aa0b5639b5\lsm.exe
%ProgramFiles%\windows nt\c5b4cb5e9653cc
%ProgramFiles%\windows nt\services.exe
<Текущая директория>\0fc223bdacedc3
<Текущая директория>\firefox.exe
%WINDIR%\pchealth\errorrep\qsignoff\886983d96e3d3e
%TEMP%\bswlrowr.0.cs
%HOMEPATH%\desktop\zhsovibo.log

Удаляет следующие файлы

%TEMP%\bswlrowr.0.cs
%TEMP%\bswlrowr.cmdline
%TEMP%\bswlrowr.out
%TEMP%\d8habduboe

Перемещает следующие файлы

%ProgramFiles%\microsoft office\office14\bcssync.exe в %ProgramFiles%\microsoft office\office14\bcssync.exe.exe

Сетевая активность

Подключается к

'21#.#26.100.235':80

TCP

Запросы HTTP POST

http://21#.#26.100.235/php/sqlimageDump/Proton/ToLocalExternal/TrafficUploads/Httpdownloads/ProcessBigloadlongpollUploads/videoTraffic/36ServerPipe/videowindowsTraffic.php

UDP

'localhost':123

Другое

Создает и запускает на исполнение

'C:\recovery\fc7d0508-3f8d-11ed-bf82-c9aa0b5639b5\lsm.exe'
'<SYSTEM32>\cmd.exe' /C "%TEMP%\jVgTGmTLWd.bat"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\bswlrowr.cmdline"' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\schtasks.exe' /create /tn "csrssc" /sc MINUTE /mo 14 /tr "'%WINDIR%\PCHEALTH\ERRORREP\QSIGNOFF\csrss.exe'" /f
'<SYSTEM32>\cmd.exe' /C "%TEMP%\jVgTGmTLWd.bat"
'<SYSTEM32>\schtasks.exe' /create /tn "dwmd" /sc MINUTE /mo 12 /tr "'C:\MSOCache\All Users\{90140000-0043-0409-1000-0000000FF1CE}-C\dwm.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "dwm" /sc ONLOGON /tr "'C:\MSOCache\All Users\{90140000-0043-0409-1000-0000000FF1CE}-C\dwm.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "dwmd" /sc MINUTE /mo 7 /tr "'C:\MSOCache\All Users\{90140000-0043-0409-1000-0000000FF1CE}-C\dwm.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "lsml" /sc MINUTE /mo 10 /tr "'C:\Recovery\fc7d0508-3f8d-11ed-bf82-c9aa0b5639b5\lsm.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "lsm" /sc ONLOGON /tr "'C:\Recovery\fc7d0508-3f8d-11ed-bf82-c9aa0b5639b5\lsm.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "lsml" /sc MINUTE /mo 5 /tr "'C:\Recovery\fc7d0508-3f8d-11ed-bf82-c9aa0b5639b5\lsm.exe'" /f
'<SYSTEM32>\chcp.com' 65001
'<SYSTEM32>\schtasks.exe' /create /tn "servicess" /sc MINUTE /mo 6 /tr "'%ProgramFiles%\Windows NT\services.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "servicess" /sc MINUTE /mo 9 /tr "'%ProgramFiles%\Windows NT\services.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "firefoxf" /sc MINUTE /mo 11 /tr "'<Текущая директория>\firefox.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "firefox" /sc ONLOGON /tr "'<Текущая директория>\firefox.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "firefoxf" /sc MINUTE /mo 10 /tr "'<Текущая директория>\firefox.exe'" /f
'%WINDIR%\microsoft.net\framework64\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\bswlrowr.cmdline"
'<SYSTEM32>\schtasks.exe' /create /tn "csrssc" /sc MINUTE /mo 14 /tr "'%WINDIR%\PCHEALTH\ERRORREP\QSIGNOFF\csrss.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "csrss" /sc ONLOGON /tr "'%WINDIR%\PCHEALTH\ERRORREP\QSIGNOFF\csrss.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "services" /sc ONLOGON /tr "'%ProgramFiles%\Windows NT\services.exe'" /rl HIGHEST /f
'<SYSTEM32>\w32tm.exe' /stripchart /computer:localhost /period:5 /dataonly /samples:2