Trojan.Siggen28.29772

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[HKLM\System\CurrentControlSet\Services\OfficeToolsService] 'Start' = '00000002'
[HKLM\System\CurrentControlSet\Services\OfficeToolsService] 'ImagePath' = '%WINDIR%\OfficeToolsService.exe'

Создает следующие сервисы

'OfficeToolsService' %WINDIR%\OfficeToolsService.exe

Вредоносные функции

Запускает на исполнение

'%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name = "StarCatOfficetools" dir =in action = allow program = "<Полный путь к файлу>" enable = yes
'%WINDIR%\syswow64\netsh.exe' firewall add portopening UDP 26000 StarCatOfficetoolsPort enable ALL
'%WINDIR%\syswow64\netsh.exe' firewall add portopening TCP 25015 StarCatOfficetoolsBrokerPort enable ALL

Изменяет следующие настройки браузера Windows Internet Explorer

[HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyEnable' = '00000001'
[HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyOverride' = 'localhost;<local>'

Изменения в файловой системе

Создает следующие файлы

<Текущая директория>\moscii\dotnet\dotnetagentconfig.config
%TEMP%\50vj5m3j.0.cs
%TEMP%\50vj5m3j.cmdline
%TEMP%\50vj5m3j.out
%TEMP%\cscb4cd.tmp
%TEMP%\resb4ce.tmp
%TEMP%\50vj5m3j.dll
<Текущая директория>\moscii\dotnet\log\2024-04-18.log
%WINDIR%\officetoolsservice.exe
%WINDIR%\moscii\dotnet\logservice\18_04_2024.txt
%TEMP%\cooy34pi.0.cs
%TEMP%\cooy34pi.cmdline
%TEMP%\cooy34pi.out
%TEMP%\cscfa55.tmp
%TEMP%\resfa56.tmp
%TEMP%\cooy34pi.dll

Удаляет следующие файлы

%TEMP%\resb4ce.tmp
%TEMP%\cscb4cd.tmp
%TEMP%\50vj5m3j.cmdline
%TEMP%\50vj5m3j.out
%TEMP%\50vj5m3j.dll
%TEMP%\50vj5m3j.0.cs
%TEMP%\resfa56.tmp
%TEMP%\cscfa55.tmp
%TEMP%\cooy34pi.cmdline
%TEMP%\cooy34pi.0.cs
%TEMP%\cooy34pi.out
%TEMP%\cooy34pi.dll

Сетевая активность

Подключается к

'localhost':3822

Другое

Ищет следующие окна

ClassName: 'TrayNotifyWnd' WindowName: ''
ClassName: 'SysPager' WindowName: ''
ClassName: 'ToolbarWindow32' WindowName: 'Notification Area'
ClassName: 'ToolbarWindow32' WindowName: 'User Promoted Notification Area'
ClassName: 'NotifyIconOverflowWindow' WindowName: ''
ClassName: 'ToolbarWindow32' WindowName: 'Overflow Notification Area'

Создает и запускает на исполнение

'%WINDIR%\officetoolsservice.exe'
'%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\50vj5m3j.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESB4CE.tmp" "%TEMP%\CSCB4CD.tmp"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /C sc create OfficeToolsService binPath= "%WINDIR%\OfficeToolsService.exe" start= auto' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /C net start "OfficeToolsService"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\cooy34pi.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESFA56.tmp" "%TEMP%\CSCFA55.tmp"' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C sc delete "OfficeToolsService"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /C cscript <SYSTEM32>\slmgr.vbs /dli > %WINDIR%\moscii\Licensetype.txt' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /C wmic path softwarelicensingservice get OA3xOriginalProductKey > %WINDIR%\moscii\KeyOEM.txt' (со скрытым окном)

Перезапускает анализируемый образец

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c netsh advfirewall firewall delete rule name = "StarCatOfficetools"
'%WINDIR%\syswow64\cmd.exe' /C wmic path softwarelicensingservice get OA3xOriginalProductKey > %WINDIR%\moscii\KeyOEM.txt
'%WINDIR%\syswow64\cmd.exe' /C cscript <SYSTEM32>\slmgr.vbs /dli > %WINDIR%\moscii\Licensetype.txt
'<SYSTEM32>\sc.exe' delete "OfficeToolsService"
'<SYSTEM32>\cmd.exe' /C sc delete "OfficeToolsService"
'%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESFA56.tmp" "%TEMP%\CSCFA55.tmp"
'%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\cooy34pi.cmdline"
'%WINDIR%\syswow64\net1.exe' start "OfficeToolsService"
'%WINDIR%\syswow64\net.exe' start "OfficeToolsService"
'%WINDIR%\syswow64\sc.exe' create OfficeToolsService binPath= "%WINDIR%\OfficeToolsService.exe" start= auto
'%WINDIR%\syswow64\cmd.exe' /C net start "OfficeToolsService"
'%WINDIR%\syswow64\cmd.exe' /C sc create OfficeToolsService binPath= "%WINDIR%\OfficeToolsService.exe" start= auto
'%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESB4CE.tmp" "%TEMP%\CSCB4CD.tmp"
'%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\50vj5m3j.cmdline"
'%WINDIR%\syswow64\icacls.exe' "%WINDIR% emp" /grant everyone:(OI)(CI)F /T
'%WINDIR%\syswow64\cmd.exe' /c icacls "%WINDIR% emp" /grant everyone:(OI)(CI)F /T
'%WINDIR%\syswow64\cmd.exe' /c netsh firewall add portopening TCP 25015 StarCatOfficetoolsBrokerPort enable ALL
'%WINDIR%\syswow64\cmd.exe' /c netsh firewall add portopening UDP 26000 StarCatOfficetoolsPort enable ALL
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall delete rule name = "StarCatOfficetools"
'%WINDIR%\syswow64\cmd.exe' /c netsh advfirewall firewall add rule name = "StarCatOfficetools" dir =in action = allow program = "<Полный путь к файлу>" enable = yes
'%WINDIR%\syswow64\cscript.exe' <SYSTEM32>\slmgr.vbs /dli
'%WINDIR%\syswow64\wbem\wmic.exe' path softwarelicensingservice get OA3xOriginalProductKey