Trojan.Siggen30.16160

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'WmiPrvSE' = '"<Текущая директория>\WmiPrvSE.exe"'
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'WmiPrvSE' = '"<Текущая директория>\WmiPrvSE.exe"'
[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "<Текущая директория>\WmiPrvSE.exe"'
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'iexplore' = '"C:\Users\Default User\iexplore.exe"'
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'iexplore' = '"C:\Users\Default User\iexplore.exe"'
[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "<Текущая директория>\WmiPrvSE.exe", "C:\Users\Default User\iexplore.exe"'
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'msiexec' = '"C:\kms\msiexec.exe"'
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'msiexec' = '"C:\kms\msiexec.exe"'
[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "<Текущая директория>\WmiPrvSE.exe", "C:\Users\Default User\iexplore.exe", "C:\kms\msiexec.exe"'
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'smss' = '"C:\MSOCache\All Users\{90140000-0011-0000-1000-0000000FF1CE}-C\smss.exe"'
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'smss' = '"C:\MSOCache\All Users\{90140000-0011-0000-1000-0000000FF1CE}-C\smss.exe"'
[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "<Текущая директория>\WmiPrvSE.exe", "C:\Users\Default User\iexplore.exe", "C:\kms\msiexec.exe", "C:\MSOCac...
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'iexplore' = '"C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\iexplore.exe"'
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'iexplore' = '"C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\iexplore.exe"'
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] '<Имя файла>' = '"<Полный путь к файлу>"'
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] '<Имя файла>' = '"<Полный путь к файлу>"'

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\wmiprvsew
<SYSTEM32>\tasks\wmiprvse
<SYSTEM32>\tasks\iexplorei
<SYSTEM32>\tasks\msiexecm
<SYSTEM32>\tasks\iexplore
<SYSTEM32>\tasks\msiexec
<SYSTEM32>\tasks\smss
<SYSTEM32>\tasks\smsss
<SYSTEM32>\tasks\<Имя файла>c
<SYSTEM32>\tasks\<Имя файла>

Изменения в файловой системе

Создает следующие файлы

<Текущая директория>\9cd4241e2061d0
%HOMEPATH%\desktop\ugjmxlij.log
%HOMEPATH%\desktop\ckrbheyq.log
%HOMEPATH%\desktop\pdlqgksr.log
nul
%TEMP%\si9s4vug5r.bat
%TEMP%\oqm9qi4bue
%TEMP%\wjawatya.out
%TEMP%\wjawatya.cmdline
%TEMP%\wjawatya.0.cs
<Текущая директория>\24dbde2999530e
<Текущая директория>\wmiprvse.exe
C:\users\default user\9db6e019d4f04e
C:\users\default user\iexplore.exe
C:\kms\133006b48fb54b
C:\kms\msiexec.exe
C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\69ddcba757bf72
C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\smss.exe
C:\recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\9db6e019d4f04e
C:\recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\iexplore.exe
%HOMEPATH%\desktop\swnlxsdi.log
%HOMEPATH%\desktop\cuhgdpnu.log

Удаляет следующие файлы

%TEMP%\wjawatya.out
%TEMP%\wjawatya.0.cs
%TEMP%\wjawatya.cmdline
%TEMP%\oqm9qi4bue

Перемещает следующие файлы

%ProgramFiles%\microsoft office\office14\bcssync.exe в %ProgramFiles%\microsoft office\office14\bcssync.exe.exe

Сетевая активность

Подключается к

'37#####m.nyashka.top':80

TCP

Запросы HTTP POST

http://37#####m.nyashka.top/JavascriptSecureSqlLocalTemporary.php

UDP

DNS ASK 37#####m.nyashka.top

Другое

Создает и запускает на исполнение

'C:\users\default user\iexplore.exe'

Запускает на исполнение

'<SYSTEM32>\schtasks.exe' /create /tn "WmiPrvSEW" /sc MINUTE /mo 12 /tr "'<Текущая директория>\WmiPrvSE.exe'" /f
'<SYSTEM32>\cmd.exe' /C "%TEMP%\sI9s4VUG5r.bat" (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /create /tn "<Имя файла>c" /sc MINUTE /mo 9 /tr "'<Полный путь к файлу>'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "<Имя файла>" /sc ONLOGON /tr "'<Полный путь к файлу>'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "<Имя файла>c" /sc MINUTE /mo 5 /tr "'<Полный путь к файлу>'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "iexplorei" /sc MINUTE /mo 5 /tr "'C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\iexplore.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "iexplore" /sc ONLOGON /tr "'C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\iexplore.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "iexplorei" /sc MINUTE /mo 12 /tr "'C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\iexplore.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "smsss" /sc MINUTE /mo 11 /tr "'C:\MSOCache\All Users\{90140000-0011-0000-1000-0000000FF1CE}-C\smss.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "smss" /sc ONLOGON /tr "'C:\MSOCache\All Users\{90140000-0011-0000-1000-0000000FF1CE}-C\smss.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "smsss" /sc MINUTE /mo 9 /tr "'C:\MSOCache\All Users\{90140000-0011-0000-1000-0000000FF1CE}-C\smss.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "msiexecm" /sc MINUTE /mo 13 /tr "'C:\kms\msiexec.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "msiexec" /sc ONLOGON /tr "'C:\kms\msiexec.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "msiexecm" /sc MINUTE /mo 14 /tr "'C:\kms\msiexec.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "iexplorei" /sc MINUTE /mo 12 /tr "'C:\Users\Default User\iexplore.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "iexplore" /sc ONLOGON /tr "'C:\Users\Default User\iexplore.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "iexplorei" /sc MINUTE /mo 14 /tr "'C:\Users\Default User\iexplore.exe'" /f
'%WINDIR%\microsoft.net\framework64\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\wjawatya.cmdline" (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /create /tn "WmiPrvSEW" /sc MINUTE /mo 10 /tr "'<Текущая директория>\WmiPrvSE.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "WmiPrvSE" /sc ONLOGON /tr "'<Текущая директория>\WmiPrvSE.exe'" /rl HIGHEST /f
'<SYSTEM32>\chcp.com' 65001
'<SYSTEM32>\ping.exe' -n 10 localhost