Trojan.Siggen30.47425

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'WUDFHost' = '"C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\WUDFHost.exe"'
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'WUDFHost' = '"C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\WUDFHost.exe"'
[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\WUDFHost.exe"'
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'WUDFHost' = '"C:\kms\WUDFHost.exe"'
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'WUDFHost' = '"C:\kms\WUDFHost.exe"'
[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\WUDFHost.exe", "C:\kms\WUDFHost.exe"'
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'firefox' = '"C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\firefox.exe"'
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'firefox' = '"C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\firefox.exe"'
[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\WUDFHost.exe", "C:\kms\WUDFHost.exe", "C:\Recovery\4d53d3...
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'Idle' = '"C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\Idle.exe"'
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'Idle' = '"C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\Idle.exe"'
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'winlogon' = '"%WINDIR%\Vss\Writers\Application\winlogon.exe"'
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'winlogon' = '"%WINDIR%\Vss\Writers\Application\winlogon.exe"'
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] '<Имя файла>' = '"<Полный путь к файлу>"'
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] '<Имя файла>' = '"<Полный путь к файлу>"'

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\wudfhostw
<SYSTEM32>\tasks\wudfhost
<SYSTEM32>\tasks\firefox
<SYSTEM32>\tasks\idlei
<SYSTEM32>\tasks\idle
<SYSTEM32>\tasks\firefoxf
<SYSTEM32>\tasks\<Имя файла>y
<SYSTEM32>\tasks\winlogonw
<SYSTEM32>\tasks\winlogon
<SYSTEM32>\tasks\<Имя файла>

Изменения в файловой системе

Создает следующие файлы

<Текущая директория>\d1f919e3020c99
%TEMP%\d63zdm00uv
%TEMP%\jmwmlok4.out
%TEMP%\jmwmlok4.cmdline
%TEMP%\jmwmlok4.0.cs
C:\recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\480b7989c529f6
C:\recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\wudfhost.exe
%TEMP%\th3fhfopwy.bat
C:\kms\480b7989c529f6
C:\recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\0fc223bdacedc3
C:\recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\firefox.exe
C:\recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\6ccacd8608530f
C:\recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\idle.exe
%WINDIR%\vss\writers\application\cc11b995f2a76d
%WINDIR%\vss\writers\application\winlogon.exe
C:\kms\wudfhost.exe
nul

Удаляет следующие файлы

%TEMP%\jmwmlok4.out
%TEMP%\jmwmlok4.cmdline
%TEMP%\jmwmlok4.0.cs
%TEMP%\d63zdm00uv

Перемещает следующие файлы

%ProgramFiles%\microsoft office\office14\bcssync.exe в %ProgramFiles%\microsoft office\office14\bcssync.exe.exe

Сетевая активность

Подключается к

'28####cm.renyash.ru':80

TCP

Запросы HTTP POST

http://28####cm.renyash.ru/Secureprocesslocal.php

UDP

DNS ASK 28####cm.renyash.ru
'localhost':123

Другое

Перезапускает анализируемый образец

Запускает на исполнение

'<SYSTEM32>\schtasks.exe' /create /tn "WUDFHostW" /sc MINUTE /mo 8 /tr "'C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\WUDFHost.exe'" /f
'<SYSTEM32>\cmd.exe' /C "%TEMP%\TH3fhFopWY.bat" (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /create /tn "<Имя файла>y" /sc MINUTE /mo 11 /tr "'<Полный путь к файлу>'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "<Имя файла>" /sc ONLOGON /tr "'<Полный путь к файлу>'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "<Имя файла>y" /sc MINUTE /mo 14 /tr "'<Полный путь к файлу>'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "winlogonw" /sc MINUTE /mo 12 /tr "'%WINDIR%\Vss\Writers\Application\winlogon.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "winlogon" /sc ONLOGON /tr "'%WINDIR%\Vss\Writers\Application\winlogon.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "winlogonw" /sc MINUTE /mo 10 /tr "'%WINDIR%\Vss\Writers\Application\winlogon.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "IdleI" /sc MINUTE /mo 8 /tr "'C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\Idle.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "Idle" /sc ONLOGON /tr "'C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\Idle.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "IdleI" /sc MINUTE /mo 14 /tr "'C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\Idle.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "firefoxf" /sc MINUTE /mo 6 /tr "'C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\firefox.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "firefox" /sc ONLOGON /tr "'C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\firefox.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "firefoxf" /sc MINUTE /mo 12 /tr "'C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\firefox.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "WUDFHostW" /sc MINUTE /mo 14 /tr "'C:\kms\WUDFHost.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "WUDFHost" /sc ONLOGON /tr "'C:\kms\WUDFHost.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "WUDFHostW" /sc MINUTE /mo 9 /tr "'C:\kms\WUDFHost.exe'" /f
'%WINDIR%\microsoft.net\framework64\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\jmwmlok4.cmdline" (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /create /tn "WUDFHostW" /sc MINUTE /mo 6 /tr "'C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\WUDFHost.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "WUDFHost" /sc ONLOGON /tr "'C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\WUDFHost.exe'" /rl HIGHEST /f
'<SYSTEM32>\chcp.com' 65001
'<SYSTEM32>\w32tm.exe' /stripchart /computer:localhost /period:5 /dataonly /samples:2