Trojan.Siggen29.50058

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

%APPDATA%\microsoft\windows\start menu\programs\startup\goodbyedpiservice.exe.lnk

Устанавливает следующие настройки сервисов

[HKLM\System\CurrentControlSet\Services\GoodbyeDPI_Default] 'Start' = '00000002'
[HKLM\System\CurrentControlSet\Services\GoodbyeDPI_Default] 'ImagePath' = '"C:\ByeByeDPI\x86_64\goodbyedpi.exe" -9 --fake-gen 24 --fake-from-hex 6b4298756bee00548482b519a2ef8302cb1c75a93dbfb48c...
[HKLM\System\CurrentControlSet\Services\GoodbyeDPI_Aggressive] 'ImagePath' = '"C:\ByeByeDPI\x86_64\goodbyedpi.exe" -p -r -s -q -f 2 -e 2 -k 2 -n -e1 --fake-gen 28 --fake-from-hex f1c48aca82bf07...
[HKLM\System\CurrentControlSet\Services\WinDivert] 'ImagePath' = 'C:\ByeByeDPI\x86_64\WinDivert64.sys'

Создает следующие сервисы

'GoodbyeDPI_Default' "C:\ByeByeDPI\x86_64\goodbyedpi.exe" -9 --fake-gen 24 --fake-from-hex 6b4298756bee00548482b519a2ef8302cb1c75a93dbfb48cdde9db8e65f9dcb933a5ec497ab2f3ffaee08d34cc17935898ddeeb1de5344dc2987 --blac...
'GoodbyeDPI_Aggressive' "C:\ByeByeDPI\x86_64\goodbyedpi.exe" -p -r -s -q -f 2 -e 2 -k 2 -n -e1 --fake-gen 28 --fake-from-hex f1c48aca82bf0716fe28fc31c87e259b84a489946d5c819809a31471f3a26e4bfb09bcaa8a3fbdabae152e0f1db4...
'WinDivert' C:\ByeByeDPI\x86_64\WinDivert64.sys

Вредоносные функции

Запускает на исполнение

'<SYSTEM32>\taskkill.exe' /f /im GoodByeDPIService.exe

Изменения в файловой системе

Создает следующие файлы

C:\byebyedpi\goodbyedpiservice.exe
C:\byebyedpi\2_payload.cmd
C:\byebyedpi\2_classic.cmd
C:\byebyedpi\2_dns.cmd
C:\byebyedpi\2_prismed.cmd
C:\byebyedpi\2_scoped.cmd
C:\byebyedpi\service_install_russia_blacklist_default.cmd
C:\byebyedpi\service_install_russia_blacklist_aggressive.cmd
C:\byebyedpi\russia-youtube.txt
C:\byebyedpi\russia-blacklist.txt
C:\byebyedpi\1_default.cmd
C:\byebyedpi\1_aggressive.cmd
C:\byebyedpi\0_russia_update_blacklist_file.cmd
C:\byebyedpi\x86_64\windivert64.sys
C:\byebyedpi\x86_64\windivert.dll
C:\byebyedpi\x86_64\goodbyedpi.exe
C:\byebyedpi\x86\windivert64.sys
C:\byebyedpi\x86\windivert32.sys
C:\byebyedpi\x86\windivert.dll
C:\byebyedpi\x86\goodbyedpi.exe
C:\byebyedpi\licenses\license-windivert.txt
C:\byebyedpi\licenses\license-uthash.txt
C:\byebyedpi\licenses\license-goodbyedpi.txt
C:\byebyedpi\licenses\license-getline.txt
C:\byebyedpi\hosts.txt
C:\byebyedpi\install.cmd
C:\byebyedpi\uninstall.cmd
C:\byebyedpi\hosts.acl

Удаляет следующие файлы

C:\byebyedpi\hosts.acl

Изменяет файл HOSTS.

Другое

Ищет следующие окна

ClassName: 'EDIT' WindowName: ''
ClassName: '' WindowName: ''

Создает и запускает на исполнение

'C:\byebyedpi\x86_64\goodbyedpi.exe' -9 --fake-gen 24 --fake-from-hex 6b4298756bee00548482b519a2ef8302cb1c75a93dbfb48cdde9db8e65f9dcb933a5ec497ab2f3ffaee08d34cc17935898ddeeb1de5344dc2987 --blacklist "C:\ByeByeDPI\russia-blacklist....
'C:\byebyedpi\goodbyedpiservice.exe'

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c ""C:\ByeByeDPI\install.cmd" "
'%WINDIR%\syswow64\net.exe' start GoodbyeDPI_Default (со скрытым окном)
'<SYSTEM32>\sc.exe' description "GoodbyeDPI_Aggressive" "Passive Deep Packet Inspection blocker and Active DPI circumvention utility (Aggressive mode)"
'<SYSTEM32>\sc.exe' create "GoodbyeDPI_Aggressive" binPath= "\"C:\ByeByeDPI\x86_64\goodbyedpi.exe\" -p -r -s -q -f 2 -e 2 -k 2 -n -e1 --fake-gen 28 --fake-from-hex f1c48aca82bf0716fe28fc31c87e259b84a489946d5c81980...
'<SYSTEM32>\sc.exe' delete "GoodbyeDPI_Aggressive"
'<SYSTEM32>\sc.exe' stop "GoodbyeDPI_Aggressive"
'<SYSTEM32>\sc.exe' start "GoodbyeDPI_Default"
'<SYSTEM32>\sc.exe' description "GoodbyeDPI_Default" "Passive Deep Packet Inspection blocker and Active DPI circumvention utility (Default mode)"
'<SYSTEM32>\sc.exe' create "GoodbyeDPI_Default" binPath= "\"C:\ByeByeDPI\x86_64\goodbyedpi.exe\" -9 --fake-gen 24 --fake-from-hex 6b4298756bee00548482b519a2ef8302cb1c75a93dbfb48cdde9db8e65f9dcb933a5ec497ab2f3ffaee...
'%WINDIR%\syswow64\cmd.exe' /c rd C:\ByeByeDPI_old /s /q (со скрытым окном)
'<SYSTEM32>\sc.exe' delete "GoodbyeDPI_Default"
'<SYSTEM32>\sc.exe' delete "GoodbyeDPI"
'<SYSTEM32>\sc.exe' stop "GoodbyeDPI"
'<SYSTEM32>\icacls.exe' "<DRIVERS>\etc" /restore hosts.acl
'<SYSTEM32>\attrib.exe' +r "<DRIVERS>\etc\hosts"
'<SYSTEM32>\attrib.exe' -r -h -s "<DRIVERS>\etc\hosts"
'<SYSTEM32>\icacls.exe' "<DRIVERS>\etc\hosts" /reset
'<SYSTEM32>\takeown.exe' /a /f "<DRIVERS>\etc\hosts"
'<SYSTEM32>\icacls.exe' "<DRIVERS>\etc\hosts" /save hosts.acl
'<SYSTEM32>\sc.exe' stop "GoodbyeDPI_Default"
'%WINDIR%\syswow64\net1.exe' start GoodbyeDPI_Default