Trojan.Siggen30.38752

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\csrssc
<SYSTEM32>\tasks\csrss
<SYSTEM32>\tasks\iexplorei
<SYSTEM32>\tasks\iexplore
<SYSTEM32>\tasks\taskhostt
<SYSTEM32>\tasks\taskhost

Изменения в файловой системе

Создает следующие файлы

%ProgramFiles(x86)%\windows defender\en-us\csrss.exe
%HOMEPATH%\desktop\sbdkvlea.log
%HOMEPATH%\desktop\lnfqphzp.log
%HOMEPATH%\desktop\hgdqbejt.log
nul
%TEMP%\jmvv1wyila.bat
%TEMP%\b7qkoqmdyx
%TEMP%\6d8bc4febd7d4d9c63b539355222b968849e7695
%HOMEPATH%\desktop\kyvvlrot.log
C:\msocache\all users\{90140000-0043-0409-1000-0000000ff1ce}-c\b75386f1303e64
<Текущая директория>\9db6e019d4f04e
<Текущая директория>\iexplore.exe
C:\recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\9db6e019d4f04e
C:\recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\iexplore.exe
C:\recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\886983d96e3d3e
C:\recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\csrss.exe
%ProgramFiles(x86)%\windows defender\en-us\886983d96e3d3e
C:\msocache\all users\{90140000-0043-0409-1000-0000000ff1ce}-c\taskhost.exe
%HOMEPATH%\desktop\apbfcpjl.log

Удаляет следующие файлы

%TEMP%\b7qkoqmdyx

Сетевая активность

Подключается к

'18#.#20.227.56':80

TCP

Запросы HTTP POST

http://18#.#20.227.56/VoiddbVoiddb/secureAuthgamelongpollapiBigloadcdn.php

UDP

'localhost':123

Другое

Создает и запускает на исполнение

'C:\msocache\all users\{90140000-0043-0409-1000-0000000ff1ce}-c\taskhost.exe'

Запускает на исполнение

'<SYSTEM32>\schtasks.exe' /create /tn "csrssc" /sc MINUTE /mo 13 /tr "'%ProgramFiles(x86)%\Windows Defender\en-US\csrss.exe'" /f
'<SYSTEM32>\cmd.exe' /C "%TEMP%\jmvv1WyILA.bat" (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /create /tn "taskhostt" /sc MINUTE /mo 13 /tr "'C:\MSOCache\All Users\{90140000-0043-0409-1000-0000000FF1CE}-C\taskhost.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "taskhost" /sc ONLOGON /tr "'C:\MSOCache\All Users\{90140000-0043-0409-1000-0000000FF1CE}-C\taskhost.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "taskhostt" /sc MINUTE /mo 7 /tr "'C:\MSOCache\All Users\{90140000-0043-0409-1000-0000000FF1CE}-C\taskhost.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "iexplorei" /sc MINUTE /mo 5 /tr "'<Текущая директория>\iexplore.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "iexplore" /sc ONLOGON /tr "'<Текущая директория>\iexplore.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "iexplorei" /sc MINUTE /mo 12 /tr "'<Текущая директория>\iexplore.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "iexplorei" /sc MINUTE /mo 6 /tr "'C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\iexplore.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "iexplore" /sc ONLOGON /tr "'C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\iexplore.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "iexplorei" /sc MINUTE /mo 7 /tr "'C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\iexplore.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "csrssc" /sc MINUTE /mo 7 /tr "'C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\csrss.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "csrss" /sc ONLOGON /tr "'C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\csrss.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "csrssc" /sc MINUTE /mo 12 /tr "'C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\csrss.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "csrssc" /sc MINUTE /mo 5 /tr "'%ProgramFiles(x86)%\Windows Defender\en-US\csrss.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "csrss" /sc ONLOGON /tr "'%ProgramFiles(x86)%\Windows Defender\en-US\csrss.exe'" /rl HIGHEST /f
'<SYSTEM32>\chcp.com' 65001
'<SYSTEM32>\w32tm.exe' /stripchart /computer:localhost /period:5 /dataonly /samples:2