Trojan.Siggen30.31502

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'hcegbgh' = '"C:\hbeaegc\AutoIt3.exe" C:\hbeaegc\hcegbgh.a3x'

Вредоносные функции

Внедряет код в

следующие системные процессы:

%WINDIR%\microsoft.net\framework\v4.0.30319\msbuild.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\is-vslgu.tmp\<Имя файла>.tmp
%TEMP%\is-m8k79.tmp\_isetup\_setup64.tmp
%TEMP%\is-m8k79.tmp\_isetup\_isdecmp.dll
%TEMP%\is-s0ld9.tmp\<Имя файла>.tmp
%TEMP%\is-p4iv3.tmp\_isetup\_setup64.tmp
%TEMP%\is-p4iv3.tmp\_isetup\_isdecmp.dll
%TEMP%\is-p4iv3.tmp\is-qvnpt.tmp
%TEMP%\is-p4iv3.tmp\is-pp826.tmp
%APPDATA%\monitoring\is-trpmr.tmp
%APPDATA%\monitoring\is-4armf.tmp
%APPDATA%\monitoring\is-51udp.tmp
%ALLUSERSPROFILE%\6kq1nhykx.a3x
nul
C:\hbeaegc\hcegbgh.a3x
C:\hbeaegc\autoit3.exe

Удаляет следующие файлы

%TEMP%\is-m8k79.tmp\_isetup\_isdecmp.dll
%TEMP%\is-m8k79.tmp\_isetup\_setup64.tmp
%TEMP%\is-vslgu.tmp\<Имя файла>.tmp
%TEMP%\is-p4iv3.tmp\nvtelemetryapi32.dll
%TEMP%\is-p4iv3.tmp\nvtelemetrybridge32.dll
%TEMP%\is-p4iv3.tmp\_isetup\_isdecmp.dll
%TEMP%\is-p4iv3.tmp\_isetup\_setup64.tmp
%TEMP%\is-s0ld9.tmp\<Имя файла>.tmp
%ALLUSERSPROFILE%\6kq1nhykx.a3x

Перемещает следующие файлы

%TEMP%\is-p4iv3.tmp\is-qvnpt.tmp в %TEMP%\is-p4iv3.tmp\nvtelemetryapi32.dll
%TEMP%\is-p4iv3.tmp\is-pp826.tmp в %TEMP%\is-p4iv3.tmp\nvtelemetrybridge32.dll
%APPDATA%\monitoring\is-trpmr.tmp в %APPDATA%\monitoring\scanner.exe
%APPDATA%\monitoring\is-4armf.tmp в %APPDATA%\monitoring\amphibola.eml
%APPDATA%\monitoring\is-51udp.tmp в %APPDATA%\monitoring\amphibola.pst

Другое

Создает и запускает на исполнение

'%TEMP%\is-vslgu.tmp\<Имя файла>.tmp' /SL5="$140180,3259580,845824,<Полный путь к файлу>"
'%TEMP%\is-s0ld9.tmp\<Имя файла>.tmp' /SL5="$60248,3259580,845824,<Полный путь к файлу>" /VERYSILENT
'%APPDATA%\monitoring\scanner.exe' "%APPDATA%\Monitoring\\amphibola.eml"
'%APPDATA%\monitoring\scanner.exe' %ALLUSERSPROFILE%\\6kQ1nhYkX.a3x

Перезапускает анализируемый образец

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /C tasklist /FI "IMAGENAME eq wrsa.exe" /FO CSV /NH | find /I "wrsa.exe" (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ping -n 5 127.0.0.1 >nul && scanner.exe %ALLUSERSPROFILE%\\6kQ1nhYkX.a3x && del %ALLUSERSPROFILE%\\6kQ1nhYkX.a3x (со скрытым окном)
'<SYSTEM32>\find.exe' /I "sophoshealth.exe"
'<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq sophoshealth.exe" /FO CSV /NH
'<SYSTEM32>\cmd.exe' /C tasklist /FI "IMAGENAME eq sophoshealth.exe" /FO CSV /NH | find /I "sophoshealth.exe" (со скрытым окном)
'<SYSTEM32>\find.exe' /I "nswscsvc.exe"
'<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq nswscsvc.exe" /FO CSV /NH
'<SYSTEM32>\cmd.exe' /C tasklist /FI "IMAGENAME eq nswscsvc.exe" /FO CSV /NH | find /I "nswscsvc.exe" (со скрытым окном)
'<SYSTEM32>\find.exe' /I "avgui.exe"
'%WINDIR%\syswow64\ping.exe' -n 5 127.0.0.1
'<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq avgui.exe" /FO CSV /NH
'<SYSTEM32>\find.exe' /I "avastui.exe"
'<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq avastui.exe" /FO CSV /NH
'<SYSTEM32>\cmd.exe' /C tasklist /FI "IMAGENAME eq avastui.exe" /FO CSV /NH | find /I "avastui.exe" (со скрытым окном)
'<SYSTEM32>\find.exe' /I "opssvc.exe"
'<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq opssvc.exe" /FO CSV /NH
'<SYSTEM32>\cmd.exe' /C tasklist /FI "IMAGENAME eq opssvc.exe" /FO CSV /NH | find /I "opssvc.exe" (со скрытым окном)
'<SYSTEM32>\find.exe' /I "wrsa.exe"
'<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq wrsa.exe" /FO CSV /NH
'<SYSTEM32>\cmd.exe' /C tasklist /FI "IMAGENAME eq avgui.exe" /FO CSV /NH | find /I "avgui.exe" (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v4.0.30319\msbuild.exe'