Trojan.Siggen29.53220

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\console_zero

Устанавливает следующие настройки сервисов

[HKLM\System\CurrentControlSet\Services\x669587] 'Start' = '00000002'
[HKLM\System\CurrentControlSet\Services\x669587] 'ImagePath' = '<SYSTEM32>\svchost.exe -k DcomLaunch'
[HKLM\SYSTEM\CurrentControlSet\services\x669587\Parameters] 'ServiceDll' = '<SYSTEM32>\x669587.dat'

Создает следующие сервисы

'x669587' <SYSTEM32>\svchost.exe -k DcomLaunch

Вредоносные функции

Для затруднения выявления своего присутствия в системе

добавляет исключения антивируса:

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionPath '<SYSTEM32>'"
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionPath '%WINDIR% \System32'"
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionPath '%WINDIR% \System32'; Add-MpPreference -ExclusionPath '<SYSTEM32>';"
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '<SYSTEM32>'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '<Имя диска съемного носителя>:\'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'G:\'

Изменения в файловой системе

Создает следующие файлы

%WINDIR% \system32\printui.exe
%WINDIR% \system32\printui.dll
<SYSTEM32>\winsvcf\winlogsvc
<SYSTEM32>\libcurl.dll
<SYSTEM32>\zlib1.dll
<SYSTEM32>\libcrypto-3-x64.dll
<SYSTEM32>\libiconv-2.dll
<SYSTEM32>\libintl-9.dll
<SYSTEM32>\libssl-3-x64.dll
<SYSTEM32>\libwinpthread-1.dll
<SYSTEM32>\console_zero.exe
<SYSTEM32>\libpq.dll
<SYSTEM32>\x669587.dat

Удаляет следующие файлы

%WINDIR% \system32\printui.dll
%WINDIR% \system32\printui.exe

Самоудаляется.

Другое

Создает и запускает на исполнение

'%WINDIR% \system32\printui.exe'
'<SYSTEM32>\console_zero.exe'

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c powershell -Command "Add-MpPreference -ExclusionPath '<SYSTEM32>'" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c powershell -Command Add-MpPreference -ExclusionPath '<SYSTEM32>' (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /create /tn "console_zero" /sc ONLOGON /tr "<SYSTEM32>\console_zero.exe" /rl HIGHEST /f
'<SYSTEM32>\cmd.exe' /c schtasks /create /tn "console_zero" /sc ONLOGON /tr "<SYSTEM32>\console_zero.exe" /rl HIGHEST /f (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /delete /tn "console_zero" /f
'<SYSTEM32>\cmd.exe' /c timeout /t 10 /nobreak && rmdir /s /q "%WINDIR% \" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c schtasks /delete /tn "console_zero" /f (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c start "" "<SYSTEM32>\console_zero.exe" (со скрытым окном)
'<SYSTEM32>\svchost.exe' -k DcomLaunch
'<SYSTEM32>\cmd.exe' /c powershell -Command Add-MpPreference -ExclusionPath '<Имя диска съемного носителя>:\' (со скрытым окном)
'<SYSTEM32>\sc.exe' start x669587
'<SYSTEM32>\sc.exe' create x669587 binPath= "<SYSTEM32>\svchost.exe -k DcomLaunch" type= own start= auto
'<SYSTEM32>\cmd.exe' /c sc create x669587 binPath= "<SYSTEM32>\svchost.exe -k DcomLaunch" type= own start= auto && reg add HKLM\SYSTEM\CurrentControlSet\services\x669587\Parameters /v ServiceDll /t REG_EXPAND_SZ /d... (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c powershell -Command "Add-MpPreference -ExclusionPath '%SystemDrive%\Windows \System32'; Add-MpPreference -ExclusionPath '%SystemDrive%\Windows\System32';" (со скрытым окном)
'<SYSTEM32>\timeout.exe' /t 10 /nobreak
'<SYSTEM32>\cmd.exe' /c timeout /t 10 /nobreak && del "<Полный путь к файлу>" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c start "" "%WINDIR% \System32\printui.exe" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c mkdir "\\?\%WINDIR% \System32" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c powershell -Command "Add-MpPreference -ExclusionPath '%WINDIR% \System32'" (со скрытым окном)
'<SYSTEM32>\reg.exe' add HKLM\SYSTEM\CurrentControlSet\services\x669587\Parameters /v ServiceDll /t REG_EXPAND_SZ /d "<SYSTEM32>\x669587.dat" /f
'<SYSTEM32>\cmd.exe' /c powershell -Command Add-MpPreference -ExclusionPath 'G:\' (со скрытым окном)