Trojan.Siggen31.36841

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[HKLM\System\CurrentControlSet\Services\Kqzn7F00OCdqzX] 'ImagePath' = '<DRIVERS>\ipiwCz1D2nBZ.sys'
[HKLM\System\CurrentControlSet\Services\Fs4Ybp2Haa] 'ImagePath' = '<DRIVERS>\Ja9E0vDVHGU.yzo'
[HKLM\System\CurrentControlSet\Services\Qt8mNFVufR0a3] 'ImagePath' = '<SYSTEM32>\qK1Yk9U6lh.sys'
[HKLM\System\CurrentControlSet\Services\lQDUxQlJ8IYa] 'ImagePath' = '<SYSTEM32>\sMj4ypD9xsG.lau'
[HKLM\System\CurrentControlSet\Services\h0YSx9a5a2X] 'ImagePath' = '%WINDIR%\23GiJlJdyiu.sys'
[HKLM\System\CurrentControlSet\Services\13b8oTHs4iKH] 'ImagePath' = '<DRIVERS>\wY2jKfAisWoGZ.sys'
[HKLM\System\CurrentControlSet\Services\nqfx9uB] 'ImagePath' = '<DRIVERS>\Tly1CUV.sys'
[HKLM\System\CurrentControlSet\Services\UNHTDfGbhm] 'ImagePath' = '<DRIVERS>\DkfY9SUzLFr9.sys'

Создает следующие сервисы

'Kqzn7F00OCdqzX' <DRIVERS>\ipiwCz1D2nBZ.sys
'Fs4Ybp2Haa' <DRIVERS>\Ja9E0vDVHGU.yzo
'Qt8mNFVufR0a3' <SYSTEM32>\qK1Yk9U6lh.sys
'lQDUxQlJ8IYa' <SYSTEM32>\sMj4ypD9xsG.lau
'h0YSx9a5a2X' %WINDIR%\23GiJlJdyiu.sys
'13b8oTHs4iKH' <DRIVERS>\wY2jKfAisWoGZ.sys
'nqfx9uB' <DRIVERS>\Tly1CUV.sys
'UNHTDfGbhm' <DRIVERS>\DkfY9SUzLFr9.sys

Вредоносные функции

Внедряет код в

следующие системные процессы:

%WINDIR%\explorer.exe

следующие пользовательские процессы:

iexplore.exe
firefox.exe
mobsync.exe

Перехватывает функции

в браузерах

Процесс firefox.exe, модуль mswsock.dll
Процесс firefox.exe, модуль wininet.dll
Процесс firefox.exe, модуль nss3.dll

Изменения в файловой системе

Создает следующие файлы

%WINDIR%\syswow64\drivers\ipiwcz1d2nbz.sys
%WINDIR%\syswow64\drivers\ja9e0vdvhgu.yzo
%WINDIR%\syswow64\qk1yk9u6lh.sys
%WINDIR%\syswow64\smj4ypd9xsg.lau
%WINDIR%\23gijljdyiu.sys
%WINDIR%\help\mobsync.exe
<DRIVERS>\wy2jkfaiswogz.sys
<SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\h7trvdc2l.cat
<DRIVERS>\tly1cuv.sys
<DRIVERS>\dkfy9suzlfr9.sys
<SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\26c17b.cat
%ProgramFiles%\windows media player\manifest.json
%ProgramFiles%\windows media player\3488bc.js
%ProgramFiles%\windows media player\41aaeb.html
%ProgramFiles%\windows media player\4ecd1a.js
%ProgramFiles%\windows media player\lib\5bef49.js
%WINDIR%\8f830\csrss.exe

Удаляет следующие файлы

%WINDIR%\syswow64\drivers\ipiwcz1d2nbz.sys
%WINDIR%\syswow64\drivers\ja9e0vdvhgu.yzo
%WINDIR%\syswow64\qk1yk9u6lh.sys
%WINDIR%\syswow64\smj4ypd9xsg.lau
<SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\h7trvdc2l.cat
<SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\26c17b.cat

Самоудаляется.

Сетевая активность

Подключается к

'dn#.#lidns.com':443
'dn#.#lidns.com':80
'xc#.#ycsl.top':80
'ap##.#ame.qq.com':80
'sp#.#aidu.com':80
'xc#.#ycsl.top':443

TCP

Запросы HTTP GET

http://dn#.#lidns.com/resolve?na#######################
http://dn#.#lidns.com/resolve?na########################
http://xc#.#eaya.site/pgm/mpr/c995ec7fd4f57c0d/e691ad375852f8cd.zip.md5.txt
http://xc#.#eaya.site/pgm/mpr/c995ec7fd4f57c0d/e691ad375852f8cd.zip
http://xc#.#ycsl.top/pgm/mpr/c995ec7fd4f57c0d/e691ad375852f8cd.zip.md5.txt
http://xc#.#ycsl.top/pgm/mpr/c995ec7fd4f57c0d/e691ad375852f8cd.zip
http://xc#.#ycsl.top/cfg/cmc/ping.txt
http://xc#.#ycsl.top/cfg/cmc/userchange.txt
http://xc#.#ycsl.top/cfg/cmc/userpq.zip
http://ap##.#ame.qq.com/comm-htdocs/ip/get_ip.php
http://sp#.#aidu.com/8aQDcjqpAAV3otqbppnN2DJv/api.php?qu############################################################
http://xc#.#ycsl.top/cfg/cmc/blacklist.txt
http://xc#.#ycsl.top/cfg/user/c995ec7fd4f57c0d/e691ad375852f8cd.json
http://xc#.#ycsl.top/cfg/pub/ms.json
http://xc#.#ycsl.top/cfg/pub/ps.json
http://xc#.#ycsl.top/pgm/mds/05631e93ccdb00ee/30c2c1ba061aa180b9bb7d850294ca58a20ba67e0a7d21d364.zip
http://xc#.#ycsl.top/pgm/mds/8a535297eaa802d1/17d0ec639db40991bbe7c285bb4fe48e0f26e9808f1e227964.zip
http://xc#.#ycsl.top/pgm/mds/62761afc2f0d796a/6daa54b05ce342c9484c724a4f83c15a9f52949fd131909c64.zip
http://xc#.#ycsl.top/pgm/mds/865609897d54b79b/2941c6fd79a2ce56956a762d12611c165dead495d4d0833864.zip
http://xc#.#ycsl.top/pgm/mds/186dc678628340ee/41d330481aa9baeec9423f64474e31a17b892476b6166bb064.zip
http://xc#.#ycsl.top/pgm/mds/71600c65a728333a/7556c4b139711fd2aa7610683a37a8d192b9bc026ac16a2564.zip
http://xc#.#ycsl.top/pgm/mds/a78ecda18e438473/49e1ec46b8e1374f99cc864009781c3d56877b12ce5518a964.zip
http://xc#.#ycsl.top/cfg/cmc/ppmldb
http://nr#.#ycsl.top/report/report_data?da#######################################################################################################################################################...
http://xc#.#ycsl.top/cfg/cmc/slfdm.txt
http://xc#.#ycsl.top/cfg/cmc/b2.txt
http://dn#.#lidns.com/resolve?na###########
http://xc#.#ycsl.top/pgm/mds/b3abb02528414f5a/6188d79c9fc7cdae7c70c674799b20d564.zip
http://xc#.#ycsl.top/cfg/cmc/ggtbd.txt
http://xc#.#ycsl.top/cfg/cmc/oypass.txt
http://dn#.#lidns.com/resolve?na############
http://xc#.#ycsl.top/pgm/mds/422ed73a26bc994c/d9ddd57e6088c9a72d21898922088a3c26c16e13c3968be164.zip
http://xc#.#ycsl.top/cfg/cmc/sfbd.txt
http://xc#.#ycsl.top/cfg/cmc/wea.txt
http://xc#.#ycsl.top/cfg/cmc/chct.txt
http://22#.5.5.5/resolve?na###########
http://dn#.#lidns.com/resolve?na###############

Другие

'dn#.#lidns.com':443
'xc#.#ycsl.top':443

UDP

DNS ASK xc#.#ycsl.top
DNS ASK dn#.#lidns.com
DNS ASK xc#.#eaya.site
DNS ASK ap##.#ame.qq.com
DNS ASK sp#.#aidu.com
DNS ASK oc##.##ust-provider.cn
'23#.#23.112.211':51701
'23#.2.2.2':18804

Другое

Добавляет корневой сертификат

Создает и запускает на исполнение

'%WINDIR%\help\mobsync.exe'
'%WINDIR%\8f830\csrss.exe'

Запускает на исполнение

'<SYSTEM32>\rundll32.exe' <SYSTEM32>\FirewallControlPanel.dll,ShowNotificationDialog /configure /ETOnly 0 /OnProfiles 6 /OtherAllowed 0 /OtherBlocked 0 /OtherEdgeAllowed 0 /NewBlocked 4 "<Полный путь к файлу>"
'%WINDIR%\syswow64\cmd.exe' /c timeout /t 1 & del /Q /F "<Полный путь к файлу>" (со скрытым окном)
'%WINDIR%\syswow64\timeout.exe' /t 1