Trojan.Siggen30.28736

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[HKLM\System\CurrentControlSet\Services\--] 'ImagePath' = '<Полный путь к файлу> /wl 1'
[HKLM\System\CurrentControlSet\Services\ZTZjYzE0ZGFhMGJlNGM] 'Start' = '00000002'
[HKLM\System\CurrentControlSet\Services\ZTZjYzE0ZGFhMGJlNGM] 'ImagePath' = 'rundll32.exe %WINDIR%\luzewyfufm.luzew tuaZSnQR'
[HKLM\System\CurrentControlSet\Services\OWU5M2M2NGViYm] 'Start' = '00000001'
[HKLM\System\CurrentControlSet\Services\OWU5M2M2NGViYm] 'ImagePath' = '<DRIVERS>\OWU5M2M2NGViYm'

Создает следующие сервисы

'--' <Полный путь к файлу> /wl 1
'ZTZjYzE0ZGFhMGJlNGM' rundll32.exe %WINDIR%\luzewyfufm.luzew tuaZSnQR
'OWU5M2M2NGViYm' <DRIVERS>\OWU5M2M2NGViYm

Вредоносные функции

Для затруднения выявления своего присутствия в системе

добавляет исключения антивируса с помощью следующих ключей реестра:

[HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths] '%WINDIR%\uninstaller.dat' = '00000000'
[HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths] '%WINDIR%\ZDY5YjE3MmJjNmM5OD.exe' = '00000000'
[HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths] '<DRIVERS>\OWU5M2M2NGViYm' = '00000000'
[HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths] '%ProgramFiles%\NDNlMjc4M' = '00000000'

добавляет исключения антивируса:

'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -command Add-MpPreference -ExclusionPath \"<Полный путь к файлу>\"
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -command Add-MpPreference -ExclusionPath \"%TEMP%\nsgFB6F.tmp\"
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -command Add-MpPreference -ExclusionPath \"%WINDIR%\TEMP\nswBC5D.tmp\"

Изменения в файловой системе

Создает следующие файлы

%TEMP%\nsgfb6f.tmp\nsexec.dll
%ProgramFiles%\ndnlmjc4m\n2qxotrhmdbl.exe
%ProgramFiles%\ndnlmjc4m\service_64.dat
%ProgramFiles%\ndnlmjc4m\nmfkzjk5ywv.exe
%TEMP%\nsw9cb0.tmp\nsislist.dll
%TEMP%\nsw9cb0.tmp\moreinfo.dll
%TEMP%\nsw9cb0.tmp\inetc.dll
%TEMP%\nsw9cb0.tmp\brh.dll
%WINDIR%\temp\nswcef6.tmp\brh.dll
%WINDIR%\temp\nswcef6.tmp\brh.dat
%WINDIR%\temp\nswcef6.tmp\nsiscrypt.dll
%WINDIR%\temp\nswcef6.tmp\simplesc.dll
%WINDIR%\temp\nswcef6.tmp\md5dll.dll
%WINDIR%\temp\nswcef6.tmp\ipconfig.dll
%WINDIR%\temp\nswcef6.tmp\system.dll
%ProgramFiles%\ndnlmjc4m\service.dat
%WINDIR%\temp\nsgcee5.tmp
%WINDIR%\temp\nswbc5d.tmp\oguluosydnn.dll
%WINDIR%\temp\nswbc5d.tmp\bhm
%WINDIR%\temp\nswbc5d.tmp\nsexec.dll
%TEMP%\nsw9cb0.tmp\nsexec.dll
%TEMP%\nsw9cb0.tmp\brh.dat
%TEMP%\nsw9cb0.tmp\nsiscrypt.dll
%TEMP%\nsw9cb0.tmp\simplesc.dll
%TEMP%\nsw9cb0.tmp\md5dll.dll
%TEMP%\nsw9cb0.tmp\ipconfig.dll
%TEMP%\nsw9cb0.tmp\system.dll
%TEMP%\nsw9caf.tmp
%TEMP%\nsgfb6f.tmp\ujbmhbzyqbg.dll
%TEMP%\nsgfb6f.tmp\oguluosydnn.dll
%TEMP%\nsgfb6f.tmp\bhm
%WINDIR%\temp\nswbc5d.tmp\ujbmhbzyqbg.dll
%WINDIR%\luzewyfufm.luzew

Удаляет следующие файлы

%TEMP%\nsgfb6f.tmp\bhm
%TEMP%\nsgfb6f.tmp\nsexec.dll
%TEMP%\nsgfb6f.tmp\oguluosydnn.dll
%WINDIR%\temp\nswbc5d.tmp\bhm
%WINDIR%\temp\nswbc5d.tmp\nsexec.dll
%WINDIR%\temp\nswbc5d.tmp\oguluosydnn.dll
%WINDIR%\temp\nswcef6.tmp\brh.dat
%WINDIR%\temp\nswcef6.tmp\brh.dll
%WINDIR%\temp\nswcef6.tmp\ipconfig.dll
%WINDIR%\temp\nswcef6.tmp\md5dll.dll
%WINDIR%\temp\nswcef6.tmp\nsiscrypt.dll
%WINDIR%\temp\nswcef6.tmp\simplesc.dll
%WINDIR%\temp\nswcef6.tmp\system.dll

Сетевая активность

Подключается к

'te####logietazo.com':443

TCP

Другие

'te####logietazo.com':443

UDP

DNS ASK te####logietazo.com

Другое

Ищет следующие окна

ClassName: '#32770' WindowName: ''
ClassName: 'SysListView32' WindowName: ''

Создает и запускает на исполнение

'%ProgramFiles%\ndnlmjc4m\nmfkzjk5ywv.exe' --install_updater 0
'%ProgramFiles%\ndnlmjc4m\nmfkzjk5ywv.exe' --service

Перезапускает анализируемый образец

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c "powershell -command Add-MpPreference -ExclusionPath \"<Полный путь к файлу>\"" (со скрытым окном)
'%WINDIR%\syswow64\reg.exe' add HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\MRT /v DontReportInfectionInformation /t REG_DWORD /d 1 /f /reg:64 (со скрытым окном)
'%WINDIR%\syswow64\sc.exe' create OWU5M2M2NGViYm binpath= "<DRIVERS>\OWU5M2M2NGViYm" DisplayName= OWU5M2M2NGViYm type= kernel start= system group= PNP_TDI (со скрытым окном)
'%WINDIR%\syswow64\sc.exe' failure ZTZjYzE0ZGFhMGJlNGM reset= 30 actions= restart/5000
'%WINDIR%\syswow64\sc.exe' create ZTZjYzE0ZGFhMGJlNGM binPath= "rundll32.exe %WINDIR%\luzewyfufm.luzew tuaZSnQR" start= auto
'%WINDIR%\syswow64\reg.exe' add HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\MRT /v DontOfferThroughWUAU /t REG_DWORD /d 1 /f /reg:64 (со скрытым окном)
'%WINDIR%\syswow64\reg.exe' add HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\MRT /v DontOfferThroughWUAU /t REG_DWORD /d 1 /f /reg:32 (со скрытым окном)
'%WINDIR%\syswow64\reg.exe' add HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\MRT /v DontOfferThroughWUAU /t REG_DWORD /d 1 /f (со скрытым окном)
'%WINDIR%\syswow64\sc.exe' start OWU5M2M2NGViYm (со скрытым окном)
'%WINDIR%\syswow64\sc.exe' delete -- (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c "powershell -command Add-MpPreference -ExclusionPath \"%WINDIR%\TEMP\nswBC5D.tmp\"" (со скрытым окном)
'%WINDIR%\syswow64\net1.exe' start --
'%WINDIR%\syswow64\net.exe' start -- (со скрытым окном)
'%WINDIR%\syswow64\sc.exe' create -- binPath= ""<Полный путь к файлу>" /wl 1" (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c "powershell -command Add-MpPreference -ExclusionPath \"%TEMP%\nsgFB6F.tmp\"" (со скрытым окном)
'%WINDIR%\syswow64\reg.exe' add HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\MRT /v DontReportInfectionInformation /t REG_DWORD /d 1 /f /reg:32 (со скрытым окном)
'%WINDIR%\syswow64\reg.exe' add HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\MRT /v DontReportInfectionInformation /t REG_DWORD /d 1 /f (со скрытым окном)
'%ProgramFiles%\ndnlmjc4m\nmfkzjk5ywv.exe' --install_updater 0 (со скрытым окном)
'%ProgramFiles%\ndnlmjc4m\nmfkzjk5ywv.exe' --service (со скрытым окном)