Trojan.Siggen30.7365

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\spoolsvs
<SYSTEM32>\tasks\spoolsv
<SYSTEM32>\tasks\<Имя файла>x
<SYSTEM32>\tasks\<Имя файла>
<SYSTEM32>\tasks\systems
<SYSTEM32>\tasks\system

Изменения в файловой системе

Создает следующие файлы

<Текущая директория>\51fc3127e6f6e3
%HOMEPATH%\desktop\pqdtmgey.log
%HOMEPATH%\desktop\zzxjwjjg.log
%HOMEPATH%\desktop\lzywgedn.log
%TEMP%\otoqmg40sm.bat
%TEMP%\fnxss6ugjf
%HOMEPATH%\desktop\xzsaawsh.log
%HOMEPATH%\desktop\fdbqkpio.log
%HOMEPATH%\desktop\ogjftjyv.log
%HOMEPATH%\desktop\xksvdcnd.log
%HOMEPATH%\desktop\ccgohcrz.log
%TEMP%\pdabhojjbp.bat
%TEMP%\ietpiydfqk
%HOMEPATH%\desktop\eqzkyueg.log
%HOMEPATH%\desktop\ekrmnffa.log
%HOMEPATH%\desktop\isgedwes.log
%HOMEPATH%\desktop\fqglczfs.log
%HOMEPATH%\desktop\jxzdfhdn.log
nul
%TEMP%\fwbpkcogdr.bat
%TEMP%\3oc3kubsat
<Текущая директория>\f3b6ecef712a24
<Текущая директория>\spoolsv.exe
%WINDIR%\inf\remoteaccess\51fc3127e6f6e3
%WINDIR%\inf\remoteaccess\<Имя файла>.exe
%WINDIR%\policydefinitions\27d1bcfc3c54e0
%WINDIR%\policydefinitions\system.exe
C:\recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\f3b6ecef712a24
C:\recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\spoolsv.exe
%WINDIR%\media\51fc3127e6f6e3
%WINDIR%\media\<Имя файла>.exe
%HOMEPATH%\desktop\otpbmsuz.log
%HOMEPATH%\desktop\zoxptdok.log

Удаляет следующие файлы

%TEMP%\3oc3kubsat
%TEMP%\ietpiydfqk
%TEMP%\fnxss6ugjf

Сетевая активность

UDP

DNS ASK 70#####m.nyashkoon.ru
'localhost':123

Другое

Создает и запускает на исполнение

'C:\recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\spoolsv.exe'

Запускает на исполнение

'<SYSTEM32>\schtasks.exe' /create /tn "spoolsvs" /sc MINUTE /mo 13 /tr "'<Текущая директория>\spoolsv.exe'" /f
'<SYSTEM32>\cmd.exe' /C "%TEMP%\otOQMG40sM.bat" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C "%TEMP%\pDaBHOJJBp.bat" (со скрытым окном)
'<SYSTEM32>\w32tm.exe' /stripchart /computer:localhost /period:5 /dataonly /samples:2
'<SYSTEM32>\chcp.com' 65001
'<SYSTEM32>\cmd.exe' /C "%TEMP%\FwbpkcoGDr.bat" (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /create /tn "<Имя файла>x" /sc MINUTE /mo 13 /tr "'<Полный путь к файлу>'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "<Имя файла>" /sc ONLOGON /tr "'<Полный путь к файлу>'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "<Имя файла>x" /sc MINUTE /mo 13 /tr "'<Полный путь к файлу>'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "<Имя файла>x" /sc MINUTE /mo 6 /tr "'%WINDIR%\Media\<Имя файла>.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "<Имя файла>" /sc ONLOGON /tr "'%WINDIR%\Media\<Имя файла>.exe'" /rl HIGHEST /f
'<SYSTEM32>\cmd.exe' /C "%TEMP%\tXGl5KOL28.bat" (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /create /tn "<Имя файла>x" /sc MINUTE /mo 12 /tr "'%WINDIR%\Media\<Имя файла>.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "spoolsv" /sc ONLOGON /tr "'C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\spoolsv.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "spoolsvs" /sc MINUTE /mo 12 /tr "'C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\spoolsv.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "SystemS" /sc MINUTE /mo 12 /tr "'%WINDIR%\PolicyDefinitions\System.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "System" /sc ONLOGON /tr "'%WINDIR%\PolicyDefinitions\System.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "SystemS" /sc MINUTE /mo 10 /tr "'%WINDIR%\PolicyDefinitions\System.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "<Имя файла>x" /sc MINUTE /mo 8 /tr "'%WINDIR%\inf\RemoteAccess\<Имя файла>.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "<Имя файла>" /sc ONLOGON /tr "'%WINDIR%\inf\RemoteAccess\<Имя файла>.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "<Имя файла>x" /sc MINUTE /mo 14 /tr "'%WINDIR%\inf\RemoteAccess\<Имя файла>.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "spoolsvs" /sc MINUTE /mo 10 /tr "'<Текущая директория>\spoolsv.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "spoolsv" /sc ONLOGON /tr "'<Текущая директория>\spoolsv.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "spoolsvs" /sc MINUTE /mo 10 /tr "'C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\spoolsv.exe'" /rl HIGHEST /f
'<SYSTEM32>\ping.exe' -n 10 localhost