Trojan.Siggen31.547

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\process lasso management console (gui)
<SYSTEM32>\tasks\session agent for process lasso

Устанавливает следующие настройки сервисов

[HKLM\System\CurrentControlSet\Services\ProcessGovernor] 'ImagePath' = '"%ProgramFiles%\Process Lasso\srvstub.exe" "%ProgramFiles%\Process Lasso\processgovernor.exe" "ProcessGovernor" /exiteven...
[HKLM\System\CurrentControlSet\Services\ProcessGovernor] 'Start' = '00000002'

Создает следующие сервисы

'ProcessGovernor' "%ProgramFiles%\Process Lasso\srvstub.exe" "%ProgramFiles%\Process Lasso\processgovernor.exe" "ProcessGovernor" /exitevent:Global\ProcessGovernorExitEvent

Вредоносные функции

Запускает на исполнение

'%WINDIR%\syswow64\taskkill.exe' /f /im ProcessLasso.exe
'%WINDIR%\syswow64\taskkill.exe' /f /im ProcessGovernor.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\aut3e76.tmp
%ProgramFiles%\process lasso\pl_rsrc_japanese.dll
%ProgramFiles%\process lasso\pl_rsrc_bulgarian.dll
%ProgramFiles%\process lasso\pl_rsrc_korean.dll
%ProgramFiles%\process lasso\pl_rsrc_russian.dll
%ProgramFiles%\process lasso\start-governor.bat
%ProgramFiles%\process lasso\stop-governor.bat
%ProgramFiles%\process lasso\pl.cmd
%ProgramFiles%\process lasso\pl-update.cmd
%ProgramFiles%\process lasso\plactivate.exe
%ProgramFiles%\process lasso\licenses
%ProgramFiles%\process lasso\uninstall.exe
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\process lasso\process lasso.lnk
C:\users\public\desktop\plvx - activation.lnk
C:\users\public\desktop\process lasso.lnk
%ALLUSERSPROFILE%\processlasso\logs\processlasso.log
%TEMP%\auta8ec.tmp
%ProgramFiles%\process lasso\pl_rsrc_japan.dll
%TEMP%\auta91c.tmp
%ProgramFiles%\process lasso\plvx.exe
%TEMP%\autdcba.tmp
%ProgramFiles%\process lasso\~tewwxuf.tmp
%ProgramFiles%\process lasso\insights.exe.bak
%ProgramFiles%\process lasso\processgovernor.exe.bak
%ProgramFiles%\process lasso\processlasso.exe.bak
%ProgramFiles%\process lasso\pl_rsrc_spanish.dll
%ALLUSERSPROFILE%\processlasso\config\prolasso.ini
%ProgramFiles%\process lasso\pl_rsrc_slovenian.dll
%ProgramFiles%\process lasso\processlassolauncher.exe
%CommonProgramFiles(x86)%\~bsdobxd.tmp
%TEMP%\nsy448f.tmp
%TEMP%\nst44bf.tmp\system.dll
%ProgramFiles%\process lasso\installhelper.exe
%ProgramFiles%\process lasso\pl_rsrc_english.dll
%ProgramFiles%\process lasso\srvstub.exe
%ProgramFiles%\process lasso\processlasso.exe
%ProgramFiles%\process lasso\processgovernor.exe
%ProgramFiles%\process lasso\bitsumsessionagent.exe
%ProgramFiles%\process lasso\tweakscheduler.exe
%ProgramFiles%\process lasso\vistammsc.exe
%ProgramFiles%\process lasso\quickupgrade.exe
%ProgramFiles%\process lasso\pl_rsrc_french.dll
%ProgramFiles%\process lasso\cpueater.exe
%ProgramFiles%\process lasso\testlasso.exe
%ProgramFiles%\process lasso\logviewer.exe
%ProgramFiles%\process lasso\insights.exe
%ProgramFiles%\process lasso\threadracer.exe
%ProgramFiles%\process lasso\pl_rsrc_finnish.dll
%ProgramFiles%\process lasso\pl_rsrc_chinese.dll
%ProgramFiles%\process lasso\pl_rsrc_chinese_traditional.dll
%ProgramFiles%\process lasso\pl_rsrc_ptbr.dll
%ProgramFiles%\process lasso\pl_rsrc_german.dll
%ProgramFiles%\process lasso\pl_rsrc_italian.dll
%ProgramFiles%\process lasso\pl_rsrc_polish.dll
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\process lasso\plvx - activation.lnk

Присваивает атрибут 'скрытый' для следующих файлов

%CommonProgramFiles(x86)%\~bsdobxd.tmp
%ProgramFiles%\process lasso\~tewwxuf.tmp

Удаляет следующие файлы

%TEMP%\aut3e76.tmp
<SYSTEM32>\tasks\session agent for process lasso
%TEMP%\nst44bf.tmp\system.dll
%TEMP%\auta8ec.tmp
%TEMP%\auta91c.tmp
%TEMP%\autdcba.tmp
%ProgramFiles%\process lasso\~tewwxuf.tmp
%ProgramFiles%\process lasso\insights.exe.bak
%ProgramFiles%\process lasso\processgovernor.exe.bak
%ProgramFiles%\process lasso\processlasso.exe.bak
%CommonProgramFiles(x86)%\~bsdobxd.tmp

Сетевая активность

TCP

Другие

'34.##9.100.209':443

Другое

Ищет следующие окна

ClassName: 'ProcessLasso_Notification_Class' WindowName: ''
ClassName: 'ProcessLasso_Notification_Class' WindowName: 'ProcessLasso_Notification_Window'
ClassName: '' WindowName: ''

Создает и запускает на исполнение

'%CommonProgramFiles(x86)%\~bsdobxd.tmp' /S
'%ProgramFiles%\process lasso\~tewwxuf.tmp' /Ignore /name:YaronS-Team /verysilent
'%ProgramFiles%\process lasso\bitsumsessionagent.exe' ----------------------------------------------------------------
'%ProgramFiles%\process lasso\processlasso.exe' /install /nodelay
'%ProgramFiles%\process lasso\installhelper.exe' /S
'%ProgramFiles%\process lasso\processgovernor.exe'
'%ProgramFiles%\process lasso\srvstub.exe' "%ProgramFiles%\Process Lasso\processgovernor.exe" "ProcessGovernor" /exitevent:Global\ProcessGovernorExitEvent
'%ProgramFiles%\process lasso\installhelper.exe' /startgovernorservice
'%ProgramFiles%\process lasso\installhelper.exe' /initconfig
'%ProgramFiles%\process lasso\installhelper.exe' /enable_update_check
'%ProgramFiles%\process lasso\installhelper.exe' /env_path_install
'%ProgramFiles%\process lasso\installhelper.exe' /install
'%ProgramFiles%\process lasso\installhelper.exe' /powerinstall
'%ProgramFiles%\process lasso\installhelper.exe' /migrate
'%ProgramFiles%\process lasso\installhelper.exe' /firstinstall
'%ProgramFiles%\process lasso\installhelper.exe' /terminate
'%ProgramFiles%\process lasso\processlassolauncher.exe'
'%ProgramFiles%\process lasso\processlasso.exe' "%ProgramFiles%\Process Lasso\ProcessLassoLauncher.exe"

Запускает на исполнение

'<SYSTEM32>\taskeng.exe' {C1B3C688-708B-437E-934F-07938EFCFD5B} S-1-5-21-3691498038-2086406363-2140527554-1000:biggbrbu\user:Interactive:[1]
'%ProgramFiles%\process lasso\bitsumsessionagent.exe' ---------------------------------------------------------------- (со скрытым окном)
'%WINDIR%\syswow64\taskkill.exe' /f /im ProcessLasso.exe (со скрытым окном)
'%WINDIR%\syswow64\taskkill.exe' /f /im ProcessGovernor.exe (со скрытым окном)