Trojan.Siggen30.7763

Техническая информация

Вредоносные функции

Внедряет код в

следующие системные процессы:

%WINDIR%\microsoft.net\framework\v4.0.30319\msbuild.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\is-m844i.tmp\<Имя файла>.tmp
%APPDATA%\syncthing\is-g8ibi.tmp
%APPDATA%\syncthing\is-25hu9.tmp
%APPDATA%\syncthing\is-im6jl.tmp
%TEMP%\is-5l6cc.tmp\is-huoq6.tmp
%TEMP%\is-5l6cc.tmp\is-f7gru.tmp
%TEMP%\is-5l6cc.tmp\is-nro5b.tmp
%TEMP%\is-5l6cc.tmp\is-nhd03.tmp
%TEMP%\is-5l6cc.tmp\is-aii59.tmp
%TEMP%\is-5l6cc.tmp\is-c62dv.tmp
%TEMP%\is-5l6cc.tmp\is-sasso.tmp
%TEMP%\is-5l6cc.tmp\is-fgqvo.tmp
%TEMP%\is-5l6cc.tmp\is-0j6tq.tmp
%TEMP%\is-5l6cc.tmp\is-9oa5s.tmp
%TEMP%\is-5l6cc.tmp\is-ddibo.tmp
%TEMP%\is-5l6cc.tmp\is-krp0v.tmp
%TEMP%\is-5l6cc.tmp\is-2oad2.tmp
%TEMP%\is-5l6cc.tmp\is-kpabu.tmp
%TEMP%\is-5l6cc.tmp\is-arndi.tmp
%TEMP%\is-5l6cc.tmp\is-lbblu.tmp
%TEMP%\is-5l6cc.tmp\is-uilg8.tmp
%TEMP%\is-5l6cc.tmp\_isetup\_isdecmp.dll
%TEMP%\is-5l6cc.tmp\_isetup\_setup64.tmp
%TEMP%\is-tf2s7.tmp\<Имя файла>.tmp
%TEMP%\is-mpmhg.tmp\_isetup\_isdecmp.dll
%TEMP%\is-mpmhg.tmp\_isetup\_setup64.tmp
%ALLUSERSPROFILE%\kigsqch.a3x
nul

Удаляет следующие файлы

%TEMP%\is-mpmhg.tmp\_isetup\_isdecmp.dll
%TEMP%\is-5l6cc.tmp\_isetup\_setup64.tmp
%TEMP%\is-5l6cc.tmp\_isetup\_isdecmp.dll
%TEMP%\is-5l6cc.tmp\websocket-sharp.dll
%TEMP%\is-5l6cc.tmp\unifyscanner.dll
%TEMP%\is-5l6cc.tmp\unifydevicedetector.dll
%TEMP%\is-5l6cc.tmp\system.text.encodings.web.dll
%TEMP%\is-5l6cc.tmp\system.security.accesscontrol.dll
%TEMP%\is-5l6cc.tmp\system.runtime.windowsruntime.ui.xaml.dll
%TEMP%\is-5l6cc.tmp\system.runtime.windowsruntime.dll
%TEMP%\is-5l6cc.tmp\system.numerics.vectors.dll
%TEMP%\is-5l6cc.tmp\system.memory.dll
%TEMP%\is-5l6cc.tmp\naudio.winmm.dll
%TEMP%\is-5l6cc.tmp\naudio.winforms.dll
%TEMP%\is-5l6cc.tmp\naudio.wasapi.dll
%TEMP%\is-5l6cc.tmp\naudio.midi.dll
%TEMP%\is-5l6cc.tmp\naudio.core.dll
%TEMP%\is-5l6cc.tmp\naudio.asio.dll
%TEMP%\is-5l6cc.tmp\booster_dll.dll
%TEMP%\is-5l6cc.tmp\aclogger.dll
%TEMP%\is-m844i.tmp\<Имя файла>.tmp
%TEMP%\is-mpmhg.tmp\_isetup\_setup64.tmp
%TEMP%\is-tf2s7.tmp\<Имя файла>.tmp
%ALLUSERSPROFILE%\kigsqch.a3x

Перемещает следующие файлы

%TEMP%\is-5l6cc.tmp\is-uilg8.tmp в %TEMP%\is-5l6cc.tmp\aclogger.dll
%APPDATA%\syncthing\is-im6jl.tmp в %APPDATA%\syncthing\scanner.exe
%TEMP%\is-5l6cc.tmp\is-huoq6.tmp в %TEMP%\is-5l6cc.tmp\websocket-sharp.dll
%TEMP%\is-5l6cc.tmp\is-f7gru.tmp в %TEMP%\is-5l6cc.tmp\unifyscanner.dll
%TEMP%\is-5l6cc.tmp\is-nro5b.tmp в %TEMP%\is-5l6cc.tmp\unifydevicedetector.dll
%TEMP%\is-5l6cc.tmp\is-nhd03.tmp в %TEMP%\is-5l6cc.tmp\system.text.encodings.web.dll
%TEMP%\is-5l6cc.tmp\is-aii59.tmp в %TEMP%\is-5l6cc.tmp\system.security.accesscontrol.dll
%TEMP%\is-5l6cc.tmp\is-c62dv.tmp в %TEMP%\is-5l6cc.tmp\system.runtime.windowsruntime.ui.xaml.dll
%TEMP%\is-5l6cc.tmp\is-sasso.tmp в %TEMP%\is-5l6cc.tmp\system.runtime.windowsruntime.dll
%TEMP%\is-5l6cc.tmp\is-fgqvo.tmp в %TEMP%\is-5l6cc.tmp\system.numerics.vectors.dll
%TEMP%\is-5l6cc.tmp\is-0j6tq.tmp в %TEMP%\is-5l6cc.tmp\system.memory.dll
%TEMP%\is-5l6cc.tmp\is-9oa5s.tmp в %TEMP%\is-5l6cc.tmp\naudio.winmm.dll
%TEMP%\is-5l6cc.tmp\is-ddibo.tmp в %TEMP%\is-5l6cc.tmp\naudio.winforms.dll
%TEMP%\is-5l6cc.tmp\is-krp0v.tmp в %TEMP%\is-5l6cc.tmp\naudio.wasapi.dll
%TEMP%\is-5l6cc.tmp\is-2oad2.tmp в %TEMP%\is-5l6cc.tmp\naudio.midi.dll
%TEMP%\is-5l6cc.tmp\is-kpabu.tmp в %TEMP%\is-5l6cc.tmp\naudio.core.dll
%TEMP%\is-5l6cc.tmp\is-arndi.tmp в %TEMP%\is-5l6cc.tmp\naudio.asio.dll
%TEMP%\is-5l6cc.tmp\is-lbblu.tmp в %TEMP%\is-5l6cc.tmp\booster_dll.dll
%APPDATA%\syncthing\is-25hu9.tmp в %APPDATA%\syncthing\phylloptosis.eml
%APPDATA%\syncthing\is-g8ibi.tmp в %APPDATA%\syncthing\phylloptosis.xls

Другое

Создает и запускает на исполнение

'%TEMP%\is-m844i.tmp\<Имя файла>.tmp' /SL5="$5023E,3560728,812032,<Полный путь к файлу>"
'%TEMP%\is-tf2s7.tmp\<Имя файла>.tmp' /SL5="$50240,3560728,812032,<Полный путь к файлу>" /VERYSILENT
'%APPDATA%\syncthing\scanner.exe' "%APPDATA%\syncthing\\phylloptosis.eml"
'%APPDATA%\syncthing\scanner.exe' %ALLUSERSPROFILE%\\KigsqCH.a3x

Перезапускает анализируемый образец

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /C tasklist /FI "IMAGENAME eq wrsa.exe" /FO CSV /NH | find /I "wrsa.exe" (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ping -n 5 127.0.0.1 >nul && scanner.exe %ALLUSERSPROFILE%\\KigsqCH.a3x && del %ALLUSERSPROFILE%\\KigsqCH.a3x (со скрытым окном)
'<SYSTEM32>\find.exe' /I "sophoshealth.exe"
'<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq sophoshealth.exe" /FO CSV /NH
'<SYSTEM32>\cmd.exe' /C tasklist /FI "IMAGENAME eq sophoshealth.exe" /FO CSV /NH | find /I "sophoshealth.exe" (со скрытым окном)
'<SYSTEM32>\find.exe' /I "nswscsvc.exe"
'<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq nswscsvc.exe" /FO CSV /NH
'<SYSTEM32>\cmd.exe' /C tasklist /FI "IMAGENAME eq nswscsvc.exe" /FO CSV /NH | find /I "nswscsvc.exe" (со скрытым окном)
'<SYSTEM32>\find.exe' /I "avgui.exe"
'%WINDIR%\syswow64\ping.exe' -n 5 127.0.0.1
'<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq avgui.exe" /FO CSV /NH
'<SYSTEM32>\find.exe' /I "avastui.exe"
'<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq avastui.exe" /FO CSV /NH
'<SYSTEM32>\cmd.exe' /C tasklist /FI "IMAGENAME eq avastui.exe" /FO CSV /NH | find /I "avastui.exe" (со скрытым окном)
'<SYSTEM32>\find.exe' /I "opssvc.exe"
'<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq opssvc.exe" /FO CSV /NH
'<SYSTEM32>\cmd.exe' /C tasklist /FI "IMAGENAME eq opssvc.exe" /FO CSV /NH | find /I "opssvc.exe" (со скрытым окном)
'<SYSTEM32>\find.exe' /I "wrsa.exe"
'<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq wrsa.exe" /FO CSV /NH
'<SYSTEM32>\cmd.exe' /C tasklist /FI "IMAGENAME eq avgui.exe" /FO CSV /NH | find /I "avgui.exe" (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v4.0.30319\msbuild.exe'