Trojan.Siggen21.14054

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\wmiprvse
<SYSTEM32>\tasks\wmiprvsew
<SYSTEM32>\tasks\dwmd
<SYSTEM32>\tasks\dwm
<SYSTEM32>\tasks\lsm
<SYSTEM32>\tasks\lsml
<SYSTEM32>\tasks\taskhostt
<SYSTEM32>\tasks\idle
<SYSTEM32>\tasks\idlei
<SYSTEM32>\tasks\taskhost

Вредоносные функции

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: 'OLLYDBG', WindowName: ''

Изменения в файловой системе

Создает следующие файлы

C:\kms\wmiprvse.exe
C:\kms\24dbde2999530e
C:\msocache\all users\{90140000-001a-0409-1000-0000000ff1ce}-c\dwm.exe
C:\msocache\all users\{90140000-001a-0409-1000-0000000ff1ce}-c\6cb0b6c459d5d3
C:\msocache\all users\{90140000-0115-0409-1000-0000000ff1ce}-c\lsm.exe
C:\msocache\all users\{90140000-0115-0409-1000-0000000ff1ce}-c\101b941d020240
C:\msocache\all users\{90140000-00a1-0409-1000-0000000ff1ce}-c\idle.exe
C:\msocache\all users\{90140000-00a1-0409-1000-0000000ff1ce}-c\6ccacd8608530f
%WINDIR%\microsoft.net\taskhost.exe
%WINDIR%\microsoft.net\b75386f1303e64
%ProgramFiles(x86)%\windows nt\tabletextservice\idle.exe
%ProgramFiles(x86)%\windows nt\tabletextservice\6ccacd8608530f
%TEMP%\fsy6ypdqxl
%TEMP%\4yjwq6dy3e.bat
nul

Удаляет следующие файлы

%TEMP%\fsy6ypdqxl

Сетевая активность

Подключается к

'63#####m.nyashkoon.top':80

TCP

Запросы HTTP GET

http://63#####m.nyashkoon.top/testcentral.php?gh#################################################################################################################################################...
http://63#####m.nyashkoon.top/testcentral.php?NH#################################################################################################################################################...

UDP

DNS ASK 63#####m.nyashkoon.top
'localhost':123

Другое

Создает и запускает на исполнение

'%WINDIR%\microsoft.net\taskhost.exe'
'%WINDIR%\syswow64\cmd.exe' /C "%TEMP%\4yjwq6dY3E.bat"' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\schtasks.exe' /create /tn "WmiPrvSEW" /sc MINUTE /mo 13 /tr "'C:\kms\WmiPrvSE.exe'" /f
'%WINDIR%\syswow64\cmd.exe' /C "%TEMP%\4yjwq6dY3E.bat"
'<SYSTEM32>\schtasks.exe' /create /tn "IdleI" /sc MINUTE /mo 12 /tr "'%ProgramFiles(x86)%\Windows NT\TableTextService\Idle.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "Idle" /sc ONLOGON /tr "'%ProgramFiles(x86)%\Windows NT\TableTextService\Idle.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "IdleI" /sc MINUTE /mo 8 /tr "'%ProgramFiles(x86)%\Windows NT\TableTextService\Idle.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "taskhostt" /sc MINUTE /mo 10 /tr "'%WINDIR%\Microsoft.NET\taskhost.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "taskhost" /sc ONLOGON /tr "'%WINDIR%\Microsoft.NET\taskhost.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "taskhostt" /sc MINUTE /mo 6 /tr "'%WINDIR%\Microsoft.NET\taskhost.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "IdleI" /sc MINUTE /mo 11 /tr "'C:\MSOCache\All Users\{90140000-00A1-0409-1000-0000000FF1CE}-C\Idle.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "Idle" /sc ONLOGON /tr "'C:\MSOCache\All Users\{90140000-00A1-0409-1000-0000000FF1CE}-C\Idle.exe'" /rl HIGHEST /f
'%WINDIR%\syswow64\w32tm.exe' /stripchart /computer:localhost /period:5 /dataonly /samples:2
'<SYSTEM32>\schtasks.exe' /create /tn "IdleI" /sc MINUTE /mo 8 /tr "'C:\MSOCache\All Users\{90140000-00A1-0409-1000-0000000FF1CE}-C\Idle.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "lsm" /sc ONLOGON /tr "'C:\MSOCache\All Users\{90140000-0115-0409-1000-0000000FF1CE}-C\lsm.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "lsml" /sc MINUTE /mo 13 /tr "'C:\MSOCache\All Users\{90140000-0115-0409-1000-0000000FF1CE}-C\lsm.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "dwmd" /sc MINUTE /mo 9 /tr "'C:\MSOCache\All Users\{90140000-001A-0409-1000-0000000FF1CE}-C\dwm.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "dwm" /sc ONLOGON /tr "'C:\MSOCache\All Users\{90140000-001A-0409-1000-0000000FF1CE}-C\dwm.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "dwmd" /sc MINUTE /mo 14 /tr "'C:\MSOCache\All Users\{90140000-001A-0409-1000-0000000FF1CE}-C\dwm.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "WmiPrvSEW" /sc MINUTE /mo 5 /tr "'C:\kms\WmiPrvSE.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "WmiPrvSEW" /sc MINUTE /mo 8 /tr "'C:\kms\WmiPrvSE.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "WmiPrvSEW" /sc MINUTE /mo 10 /tr "'C:\kms\WmiPrvSE.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "WmiPrvSE" /sc ONLOGON /tr "'C:\kms\WmiPrvSE.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "lsml" /sc MINUTE /mo 10 /tr "'C:\MSOCache\All Users\{90140000-0115-0409-1000-0000000FF1CE}-C\lsm.exe'" /rl HIGHEST /f
'<SYSTEM32>\w32tm.exe' /stripchart /computer:localhost /period:5 /dataonly /samples:2