Trojan.Siggen31.34696

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'fbbackf' = '"C:\hehcbec\AutoIt3.exe" C:\hehcbec\fbbackf.a3x'

Вредоносные функции

Внедряет код в

следующие системные процессы:

%WINDIR%\microsoft.net\framework\v4.0.30319\msbuild.exe

Завершает или пытается завершить

следующие системные процессы:

%WINDIR%\microsoft.net\framework\v4.0.30319\msbuild.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\is-hpsvg.tmp\<Имя файла>.tmp
%TEMP%\is-ff5v6.tmp\_isetup\_setup64.tmp
%TEMP%\is-k4nug.tmp\<Имя файла>.tmp
%TEMP%\is-uucr2.tmp\_isetup\_setup64.tmp
%TEMP%\is-uucr2.tmp\is-0e92h.tmp
%TEMP%\is-uucr2.tmp\is-nq5t1.tmp
%TEMP%\is-uucr2.tmp\is-l1cbp.tmp
%TEMP%\is-uucr2.tmp\is-li48r.tmp
%TEMP%\is-uucr2.tmp\is-v0pqb.tmp
%TEMP%\is-uucr2.tmp\is-ip3j7.tmp
%TEMP%\is-uucr2.tmp\is-v6ilr.tmp
%TEMP%\is-uucr2.tmp\is-lrt26.tmp
%TEMP%\is-uucr2.tmp\is-k7js3.tmp
%TEMP%\is-uucr2.tmp\is-gbsat.tmp
%TEMP%\is-uucr2.tmp\is-a6un6.tmp
%TEMP%\is-uucr2.tmp\is-blavr.tmp
%TEMP%\is-uucr2.tmp\is-jji3f.tmp
%TEMP%\is-uucr2.tmp\is-4qeep.tmp
%TEMP%\is-uucr2.tmp\is-gd05h.tmp
%TEMP%\is-uucr2.tmp\is-s0kej.tmp
%APPDATA%\accentppr\is-lkcg7.tmp
%APPDATA%\accentppr\is-ub9tj.tmp
%APPDATA%\accentppr\is-jfuql.tmp
%ALLUSERSPROFILE%\czb8wjlc.a3x
nul
C:\hehcbec\fbbackf.a3x
C:\hehcbec\autoit3.exe

Удаляет следующие файлы

%TEMP%\is-ff5v6.tmp\_isetup\_setup64.tmp
%TEMP%\is-hpsvg.tmp\<Имя файла>.tmp
%TEMP%\is-uucr2.tmp\audio.dll
%TEMP%\is-uucr2.tmp\filesystem_stdio.dll
%TEMP%\is-uucr2.tmp\gldriverquery.exe
%TEMP%\is-uucr2.tmp\gldriverquery64.exe
%TEMP%\is-uucr2.tmp\mss32.dll
%TEMP%\is-uucr2.tmp\mssdsp.flt
%TEMP%\is-uucr2.tmp\mssmp3.asi
%TEMP%\is-uucr2.tmp\mssvoice.asi
%TEMP%\is-uucr2.tmp\nattypeprobe.dll
%TEMP%\is-uucr2.tmp\service_current_versions.vdf
%TEMP%\is-uucr2.tmp\service_minimum_versions.vdf
%TEMP%\is-uucr2.tmp\vgui2_s.dll
%TEMP%\is-uucr2.tmp\vulkandriverquery.exe
%TEMP%\is-uucr2.tmp\vulkandriverquery64.exe
%TEMP%\is-uucr2.tmp\xinput1_3.dll
%TEMP%\is-uucr2.tmp\xpad.dll
%TEMP%\is-uucr2.tmp\_isetup\_setup64.tmp
%TEMP%\is-k4nug.tmp\<Имя файла>.tmp
%ALLUSERSPROFILE%\czb8wjlc.a3x

Перемещает следующие файлы

%TEMP%\is-uucr2.tmp\is-0e92h.tmp в %TEMP%\is-uucr2.tmp\audio.dll
%TEMP%\is-uucr2.tmp\is-nq5t1.tmp в %TEMP%\is-uucr2.tmp\filesystem_stdio.dll
%TEMP%\is-uucr2.tmp\is-l1cbp.tmp в %TEMP%\is-uucr2.tmp\gldriverquery.exe
%TEMP%\is-uucr2.tmp\is-li48r.tmp в %TEMP%\is-uucr2.tmp\gldriverquery64.exe
%TEMP%\is-uucr2.tmp\is-v0pqb.tmp в %TEMP%\is-uucr2.tmp\mss32.dll
%TEMP%\is-uucr2.tmp\is-ip3j7.tmp в %TEMP%\is-uucr2.tmp\mssdsp.flt
%TEMP%\is-uucr2.tmp\is-v6ilr.tmp в %TEMP%\is-uucr2.tmp\mssmp3.asi
%TEMP%\is-uucr2.tmp\is-lrt26.tmp в %TEMP%\is-uucr2.tmp\mssvoice.asi
%TEMP%\is-uucr2.tmp\is-k7js3.tmp в %TEMP%\is-uucr2.tmp\nattypeprobe.dll
%TEMP%\is-uucr2.tmp\is-gbsat.tmp в %TEMP%\is-uucr2.tmp\service_current_versions.vdf
%TEMP%\is-uucr2.tmp\is-a6un6.tmp в %TEMP%\is-uucr2.tmp\service_minimum_versions.vdf
%TEMP%\is-uucr2.tmp\is-blavr.tmp в %TEMP%\is-uucr2.tmp\vgui2_s.dll
%TEMP%\is-uucr2.tmp\is-jji3f.tmp в %TEMP%\is-uucr2.tmp\vulkandriverquery.exe
%TEMP%\is-uucr2.tmp\is-4qeep.tmp в %TEMP%\is-uucr2.tmp\vulkandriverquery64.exe
%TEMP%\is-uucr2.tmp\is-gd05h.tmp в %TEMP%\is-uucr2.tmp\xinput1_3.dll
%TEMP%\is-uucr2.tmp\is-s0kej.tmp в %TEMP%\is-uucr2.tmp\xpad.dll
%APPDATA%\accentppr\is-lkcg7.tmp в %APPDATA%\accentppr\electronics.exe
%APPDATA%\accentppr\is-ub9tj.tmp в %APPDATA%\accentppr\ashlering.eml
%APPDATA%\accentppr\is-jfuql.tmp в %APPDATA%\accentppr\ashlering.vsdx

Другое

Создает и запускает на исполнение

'%TEMP%\is-hpsvg.tmp\<Имя файла>.tmp' /SL5="$6024C,4902322,845824,<Полный путь к файлу>"
'%TEMP%\is-k4nug.tmp\<Имя файла>.tmp' /SL5="$14009A,4902322,845824,<Полный путь к файлу>" /VERYSILENT
'%APPDATA%\accentppr\electronics.exe' "%APPDATA%\AccentPPR\\ashlering.eml"
'%APPDATA%\accentppr\electronics.exe' %ALLUSERSPROFILE%\\CZB8WJlc.a3x

Перезапускает анализируемый образец

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /C tasklist /FI "IMAGENAME eq wrsa.exe" /FO CSV /NH | find /I "wrsa.exe" (со скрытым окном)
'<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq wrsa.exe" /FO CSV /NH
'<SYSTEM32>\find.exe' /I "wrsa.exe"
'<SYSTEM32>\cmd.exe' /C tasklist /FI "IMAGENAME eq opssvc.exe" /FO CSV /NH | find /I "opssvc.exe" (со скрытым окном)
'<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq opssvc.exe" /FO CSV /NH
'<SYSTEM32>\find.exe' /I "opssvc.exe"
'<SYSTEM32>\cmd.exe' /C tasklist /FI "IMAGENAME eq avastui.exe" /FO CSV /NH | find /I "avastui.exe" (со скрытым окном)
'<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq avastui.exe" /FO CSV /NH
'<SYSTEM32>\find.exe' /I "avastui.exe"
'<SYSTEM32>\cmd.exe' /C tasklist /FI "IMAGENAME eq avgui.exe" /FO CSV /NH | find /I "avgui.exe" (со скрытым окном)
'<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq avgui.exe" /FO CSV /NH
'<SYSTEM32>\find.exe' /I "avgui.exe"
'<SYSTEM32>\cmd.exe' /C tasklist /FI "IMAGENAME eq nswscsvc.exe" /FO CSV /NH | find /I "nswscsvc.exe" (со скрытым окном)
'<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq nswscsvc.exe" /FO CSV /NH
'<SYSTEM32>\find.exe' /I "nswscsvc.exe"
'<SYSTEM32>\cmd.exe' /C tasklist /FI "IMAGENAME eq sophoshealth.exe" /FO CSV /NH | find /I "sophoshealth.exe" (со скрытым окном)
'<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq sophoshealth.exe" /FO CSV /NH
'<SYSTEM32>\find.exe' /I "sophoshealth.exe"
'%WINDIR%\syswow64\cmd.exe' /c ping -n 5 127.0.0.1 >nul && electronics.exe %ALLUSERSPROFILE%\\CZB8WJlc.a3x && del %ALLUSERSPROFILE%\\CZB8WJlc.a3x (со скрытым окном)
'%WINDIR%\syswow64\ping.exe' -n 5 127.0.0.1
'%WINDIR%\microsoft.net\framework\v4.0.30319\msbuild.exe' (со скрытым окном)