Trojan.Siggen29.61430

Техническая информация

Вредоносные функции

Для затруднения выявления своего присутствия в системе

добавляет исключения антивируса:

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '%WINDIR%\DigitalLocker\System.exe'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '%ProgramFiles%\MSBuild\Microsoft\Windows Workflow Foundation\v3.5\lsm.exe'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '%WINDIR%\system\msiexec.exe'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/Windows/'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/Users/'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\audiodg.exe'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/Recovery/'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/qxyhd/'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/System Volume Information/'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/Program Files (x86)/'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/Program Files/'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/ProgramData/'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/PerfLogs/'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/MSOCache/'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/kms/'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/Documents and Settings/'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/$Recycle.Bin/'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '%HOMEPATH%\Downloads\csrss.exe'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '%APPDATA%\mscomponentmonitorNet\hyperperfdhcp.exe'

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\mscomponentmonitornet\hyperperfdhcp.exe
%HOMEPATH%\desktop\qxirkfec.log
%HOMEPATH%\desktop\lqszaosu.log
nul
%TEMP%\ojofurcnbd.bat
%TEMP%\8rstdl1k6i
C:\recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\42af1c969fbb7b
C:\recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\audiodg.exe
%WINDIR%\system\133006b48fb54b
%WINDIR%\system\msiexec.exe
%ProgramFiles%\msbuild\microsoft\windows workflow foundation\v3.5\101b941d020240
%HOMEPATH%\desktop\huzbamou.log
%ProgramFiles%\msbuild\microsoft\windows workflow foundation\v3.5\lsm.exe
%WINDIR%\digitallocker\system.exe
%HOMEPATH%\downloads\886983d96e3d3e
%HOMEPATH%\downloads\csrss.exe
%APPDATA%\mscomponentmonitornet\a421ce3167e6a8
%HOMEPATH%\desktop\cakvctgr.log
%HOMEPATH%\desktop\jzhkmdgy.log
%HOMEPATH%\desktop\thbawgmg.log
%HOMEPATH%\desktop\oamimoay.log
%APPDATA%\mscomponentmonitornet\apuiirff6nicz8pjnm74t9c.bat
%APPDATA%\mscomponentmonitornet\dve5n6pytd8eojshithv1jszlm20qi7.vbe
%WINDIR%\digitallocker\27d1bcfc3c54e0
%HOMEPATH%\desktop\zqrmqtyn.log

Удаляет следующие файлы

%TEMP%\8rstdl1k6i

Сетевая активность

Подключается к

'08#####m.n9shteam.in':80

TCP

Запросы HTTP POST

http://08#####m.n9shteam.in/vmBase.php

UDP

DNS ASK 08#####m.n9shteam.in

Другое

Ищет следующие окна

ClassName: 'EDIT' WindowName: ''

Создает и запускает на исполнение

'%WINDIR%\syswow64\wscript.exe' "%APPDATA%\mscomponentmonitorNet\dVe5n6pyTD8eOjsHiThv1jSZLm20Qi7.vbe"
'%APPDATA%\mscomponentmonitornet\hyperperfdhcp.exe'

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c ""%APPDATA%\mscomponentmonitorNet\APUiIrFf6Nicz8Pjnm74T9c.bat" " (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C "%TEMP%\ojofUrCNBd.bat" (со скрытым окном)
'<SYSTEM32>\chcp.com' 65001
'<SYSTEM32>\ping.exe' -n 10 localhost