Trojan.Siggen31.36777

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

%WINDIR%\tasks\wmiprvse.exe
%WINDIR%\tasks\24dbde2999530e
<SYSTEM32>\tasks\firefoxf
<SYSTEM32>\tasks\wmiprvsew
<SYSTEM32>\tasks\firefox
<SYSTEM32>\tasks\wmiprvse
<SYSTEM32>\tasks\sppsvcs
<SYSTEM32>\tasks\sppsvc

Вредоносные функции

Для затруднения выявления своего присутствия в системе

добавляет исключения антивируса:

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '%WINDIR%\Downloaded Program Files\firefox.exe'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '%WINDIR%\Tasks\WmiPrvSE.exe'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:\MSOCache\All Users\{90140000-001A-0409-1000-0000000FF1CE}-C\sppsvc.exe'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '%WINDIR%\twain_32\firefox.exe'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '%ProgramFiles%\DVD Maker\firefox.exe'

Изменения в файловой системе

Создает следующие файлы

%WINDIR%\downloaded program files\firefox.exe
%WINDIR%\downloaded program files\0fc223bdacedc3
C:\msocache\all users\{90140000-001a-0409-1000-0000000ff1ce}-c\sppsvc.exe
C:\msocache\all users\{90140000-001a-0409-1000-0000000ff1ce}-c\0a1fd5f707cd16
%WINDIR%\twain_32\firefox.exe
%WINDIR%\twain_32\0fc223bdacedc3
%ProgramFiles%\dvd maker\firefox.exe
%ProgramFiles%\dvd maker\0fc223bdacedc3
%TEMP%\z1hs8d6cac
%TEMP%\0azqiandtw.bat
nul
%HOMEPATH%\desktop\luqzaors.log
%HOMEPATH%\desktop\yhehmxwz.log
%HOMEPATH%\desktop\gvccsbbk.log
%HOMEPATH%\desktop\vhxliqgc.log
%HOMEPATH%\desktop\dvvgpuln.log
%HOMEPATH%\desktop\mofbvhgy.log
%HOMEPATH%\desktop\ixokolff.log
%HOMEPATH%\desktop\ixfvhpan.log
%HOMEPATH%\desktop\munzgxff.log
%HOMEPATH%\desktop\kosjzsjm.log
%HOMEPATH%\desktop\yutdictm.log
%HOMEPATH%\desktop\wzyheetp.log
%HOMEPATH%\desktop\bmgragdl.log
%HOMEPATH%\desktop\fjovznid.log

Удаляет следующие файлы

%TEMP%\z1hs8d6cac

Сетевая активность

Подключается к

'co##############e-chains.prod.autograph.services.mozaws.net':443
'65#####m.nyashmyash.top':80

UDP

DNS ASK co##############e-chains.prod.autograph.services.mozaws.net
DNS ASK 65#####m.nyashmyash.top
'localhost':123

Другое

Создает и запускает на исполнение

'%WINDIR%\downloaded program files\firefox.exe'

Запускает на исполнение

'<SYSTEM32>\schtasks.exe' /create /tn "firefoxf" /sc MINUTE /mo 5 /tr "'%WINDIR%\Downloaded Program Files\firefox.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "firefox" /sc ONLOGON /tr "'%WINDIR%\Downloaded Program Files\firefox.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "firefoxf" /sc MINUTE /mo 11 /tr "'%WINDIR%\Downloaded Program Files\firefox.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "WmiPrvSEW" /sc MINUTE /mo 13 /tr "'%WINDIR%\Tasks\WmiPrvSE.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "WmiPrvSE" /sc ONLOGON /tr "'%WINDIR%\Tasks\WmiPrvSE.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "WmiPrvSEW" /sc MINUTE /mo 13 /tr "'%WINDIR%\Tasks\WmiPrvSE.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "sppsvcs" /sc MINUTE /mo 10 /tr "'C:\MSOCache\All Users\{90140000-001A-0409-1000-0000000FF1CE}-C\sppsvc.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "sppsvc" /sc ONLOGON /tr "'C:\MSOCache\All Users\{90140000-001A-0409-1000-0000000FF1CE}-C\sppsvc.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "sppsvcs" /sc MINUTE /mo 7 /tr "'C:\MSOCache\All Users\{90140000-001A-0409-1000-0000000FF1CE}-C\sppsvc.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "firefoxf" /sc MINUTE /mo 12 /tr "'%WINDIR%\twain_32\firefox.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "firefox" /sc ONLOGON /tr "'%WINDIR%\twain_32\firefox.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "firefoxf" /sc MINUTE /mo 14 /tr "'%WINDIR%\twain_32\firefox.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "firefoxf" /sc MINUTE /mo 9 /tr "'%ProgramFiles%\DVD Maker\firefox.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "firefox" /sc ONLOGON /tr "'%ProgramFiles%\DVD Maker\firefox.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "firefoxf" /sc MINUTE /mo 14 /tr "'%ProgramFiles%\DVD Maker\firefox.exe'" /rl HIGHEST /f
'<SYSTEM32>\cmd.exe' /C "%TEMP%\0aZqiandTW.bat" (со скрытым окном)
'<SYSTEM32>\chcp.com' 65001
'<SYSTEM32>\w32tm.exe' /stripchart /computer:localhost /period:5 /dataonly /samples:2