Trojan.Siggen31.9036

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKCU\Software\Classes\discord-1150373996290904174\shell\open\command] '' = '<Полный путь к файлу>'

Вредоносные функции

Запускает на исполнение

'%WINDIR%\syswow64\taskkill.exe' /F /IM adb.exe
'%WINDIR%\syswow64\taskkill.exe' /F /IM AndroidProcess.exe
'%WINDIR%\syswow64\taskkill.exe' /F /im AndroidEmulator.exe
'%WINDIR%\syswow64\taskkill.exe' /F /im AndroidEmulatorEn.exe
'%WINDIR%\syswow64\taskkill.exe' /F /IM ProjectTitan.exe
'%WINDIR%\syswow64\taskkill.exe' /F /im AndroidEmulatorEx.exe
'%WINDIR%\syswow64\taskkill.exe' /F /im cmd.exe
'%WINDIR%\syswow64\taskkill.exe' /F /im Gameloop.exe

Завершает или пытается завершить

следующие системные процессы:

%WINDIR%\syswow64\cmd.exe

Другое

Ищет следующие окна

ClassName: '' WindowName: ''

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c mode con cols=80 lines=25
'%WINDIR%\syswow64\cmd.exe' /c sc stop driver (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c sc stop venbpx (со скрытым окном)
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall delete rule name = port
'%WINDIR%\syswow64\cmd.exe' /c sc stop UniFairy_x64 (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c sc delete driver (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c sc delete venbpx (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c sc delete aow_drv (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c sc delete AndroidKernel (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c sc delete UniFairy_x64 (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c rd /s /q "C:/Users/%USERNAME%/AppData/Roaming/Tencent" (со скрытым окном)
'%WINDIR%\syswow64\sc.exe' stop UniFairy_x64
'%WINDIR%\syswow64\sc.exe' delete driver
'%WINDIR%\syswow64\cmd.exe' /c rundll32 user32.dll,MessageBeep (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c cls
'%WINDIR%\syswow64\sc.exe' delete venbpx
'%WINDIR%\syswow64\cmd.exe' /c rd /s /q "C:/ProgramData/Tencent" (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c rd /s /q "C:/Users/%USERNAME%/AppData/Local/Tencent" (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c net stop AndroidKernel (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c net stop aow_drv (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c netsh advfirewall firewall delete rule name = ip (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c netsh advfirewall firewall delete rule name=ven (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c netsh advfirewall firewall delete rule name=ip (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c netsh advfirewall firewall delete rule name=island (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c adb kill-server (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c taskkill /F /IM adb.exe (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c taskkill /F /IM AndroidProcess.exe (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c taskkill /F /IM ProjectTitan.exe (со скрытым окном)
'%WINDIR%\syswow64\mode.com' con cols=80 lines=25
'%WINDIR%\syswow64\cmd.exe' /c taskkill /F /im AndroidEmulator.exe (со скрытым окном)
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall delete rule name=ip
'%WINDIR%\syswow64\cmd.exe' /c taskkill /F /im AndroidEmulatorEn.exe (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c taskkill /F /im AndroidEmulatorEx.exe (со скрытым окном)
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall delete rule name=island
'%WINDIR%\syswow64\cmd.exe' /c taskkill /F /im Gameloop.exe (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c taskkill /F /im cmd.exe (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c netsh advfirewall firewall delete rule name = port (со скрытым окном)
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall delete rule name=ven
'%WINDIR%\syswow64\sc.exe' delete UniFairy_x64
'%WINDIR%\syswow64\rundll32.exe' user32.dll,MessageBeep