Trojan.Siggen30.7322

Техническая информация

Изменения в файловой системе

Создает следующие файлы

<Текущая директория>\exuikrnln_win32.lib
C:\users\public\thunder network\mini_downloadlib\odawmdawntu=\version_3_2_1_40\profiles\error.dat
%ALLUSERSPROFILE%\thunder network\downloadlib\pub_store.dat
%TEMP%\zlibwapi.dll
%TEMP%\download\zlib1.dll
%TEMP%\download\xlbughandler.dll
%TEMP%\download\msvcr71.dll
%TEMP%\download\msvcp71.dll
%TEMP%\download\minizip.dll
%TEMP%\download\minithunderplatform.exe
%TEMP%\download\download_engine.dll
%TEMP%\download\dl_peer_id.dll
%TEMP%\download\atl71.dll
%TEMP%\xldl.dll
%ProgramFiles(x86)%\skins\config.dat
<Текущая директория>\iac.base.dat
<Текущая директория>\api-ms-win-crt-stdio-l1-1-0.dll
<Текущая директория>\api-ms-win-crt-runtime-l1-1-0.dll
<Текущая директория>\api-ms-win-crt-math-l1-1-0.dll
<Текущая директория>\api-ms-win-crt-heap-l1-1-0.dll
<Текущая директория>\vcruntime140.dll
<Текущая директория>\msvcp140_codecvt_ids.dll
<Текущая директория>\msvcp140_atomic_wait.dll
<Текущая директория>\msvcp140.dll
<Текущая директория>\concrt140.dll
<Текущая директория>\api-ms-win-crt-string-l1-1-0.dll
<Текущая директория>\iac.zip
<Текущая директория>\anticheat.dll
<Текущая директория>\1f0d0f0e120c156d155c15d0f0f160d0e160b.exe
<Текущая директория>\exuikrnln_win64.lib
C:\users\public\thunder network\mini_downloadlib\odawmdawntu=\version_3_2_1_40\profiles\asyn_frame.dat
C:\users\public\thunder network\mini_downloadlib\odawmdawntu=\version_3_2_1_40\profiles\download.cfg

Присваивает атрибут 'скрытый' для следующих файлов

<Текущая директория>\exuikrnln_win32.lib
<Текущая директория>\exuikrnln_win64.lib
<Текущая директория>\1f0d0f0e120c156d155c15d0f0f160d0e160b.exe
<Текущая директория>\anticheat.dll
<Текущая директория>\iac.zip

Сетевая активность

Подключается к

'os.##q520.top':32520
'sl.##skins.com':80
'sk###.x1.lolgezi.cc':80
'hu#####.hz.sandai.net':80
'hu#####.shub.hz.sandai.net':80
'localhost':80
'hu####.#hub.hz.sandai.net':80
'hu####.hz.sandai.net':80

TCP

Запросы HTTP GET

http://sl.##skins.com/
http://sl.##skins.com/SLVersionConfig.json
http://sl.##skins.com/SLServerConfig.json
http://sk###.x1.lolgezi.cc/d/Pa###istPhoto/SLBox241115_1.webm

Запросы HTTP POST

http://11#.##.218.154:80/
http://11#.##2.223.136:80/
http://14#.##6.225.136:80/
http://11#.##2.219.22:80/

Другие

'os.##q520.top':32520

UDP

DNS ASK os.##q520.top
DNS ASK sl.##skins.com
DNS ASK hu####.hz.sandai.net
DNS ASK hu#####.hz.sandai.net
DNS ASK hu###.hz.sandai.net
DNS ASK pm##.#z.sandai.net
DNS ASK sk###.x1.lolgezi.cc
DNS ASK hu#####.shub.hz.sandai.net
DNS ASK im#####r.hz.sandai.net
DNS ASK sc###.##ub.hz.sandai.net
DNS ASK hu####.#hub.hz.sandai.net
DNS ASK bj#####.baidupcs.com
'hu#####.hz.sandai.net':8000

Другое

Ищет следующие окна

ClassName: 'RiotWindowClass' WindowName: 'League of Legends (TM) Client'

Создает и запускает на исполнение

'<Текущая директория>\1f0d0f0e120c156d155c15d0f0f160d0e160b.exe'
'%TEMP%\download\minithunderplatform.exe' -StartTP

Запускает на исполнение

'%WINDIR%\syswow64\wbem\wmic.exe' BaseBoard get SerialNumber (со скрытым окном)
'<SYSTEM32>\rundll32.exe' <SYSTEM32>\FirewallControlPanel.dll,ShowNotificationDialog /configure /ETOnly 0 /OnProfiles 6 /OtherAllowed 0 /OtherBlocked 0 /OtherEdgeAllowed 0 /NewBlocked 4 "%TEMP%\download\minithunderplatf...