Trojan.Siggen31.43013

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[HKLM\System\CurrentControlSet\Services\Zk1Yozuwj4] 'ImagePath' = '<DRIVERS>\aeDcoCZG0TcCJI.sys'
[HKLM\System\CurrentControlSet\Services\OAa1YrJogRg4CW] 'ImagePath' = '<DRIVERS>\nso0mQRWuYDX.ulw'
[HKLM\System\CurrentControlSet\Services\ykIi933BiG] 'ImagePath' = '<SYSTEM32>\3G4F5plhhT.sys'
[HKLM\System\CurrentControlSet\Services\uK9sAxrtHnelV] 'ImagePath' = '<SYSTEM32>\EKlKpjimXhT.gdn'
[HKLM\System\CurrentControlSet\Services\LFnWUdb1XRd2gG] 'ImagePath' = '%WINDIR%\bUfbE6eIR6.sys'
[HKLM\System\CurrentControlSet\Services\QurNTTlrNs] 'ImagePath' = '<DRIVERS>\ZNa6LeQNWy2qKi.sys'
[HKLM\System\CurrentControlSet\Services\gchWtkFhA] 'ImagePath' = '<DRIVERS>\53lnPi.sys'
[HKLM\System\CurrentControlSet\Services\P2iAYzGj7M] 'ImagePath' = '<DRIVERS>\7dgrVVeXHr6ylh.sys'

Создает следующие сервисы

'Zk1Yozuwj4' <DRIVERS>\aeDcoCZG0TcCJI.sys
'OAa1YrJogRg4CW' <DRIVERS>\nso0mQRWuYDX.ulw
'ykIi933BiG' <SYSTEM32>\3G4F5plhhT.sys
'uK9sAxrtHnelV' <SYSTEM32>\EKlKpjimXhT.gdn
'LFnWUdb1XRd2gG' %WINDIR%\bUfbE6eIR6.sys
'QurNTTlrNs' <DRIVERS>\ZNa6LeQNWy2qKi.sys
'gchWtkFhA' <DRIVERS>\53lnPi.sys
'P2iAYzGj7M' <DRIVERS>\7dgrVVeXHr6ylh.sys

Вредоносные функции

Внедряет код в

следующие системные процессы:

%WINDIR%\explorer.exe

следующие пользовательские процессы:

klist.exe

Изменения в файловой системе

Создает следующие файлы

%WINDIR%\syswow64\drivers\aedcoczg0tccji.sys
%WINDIR%\syswow64\drivers\nso0mqrwuydx.ulw
%WINDIR%\syswow64\3g4f5plhht.sys
%WINDIR%\syswow64\eklkpjimxht.gdn
%WINDIR%\bufbe6eir6.sys
%WINDIR%\inf\klist.exe
<DRIVERS>\zna6leqnwy2qki.sys
<SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\etvddx.cat
<DRIVERS>\53lnpi.sys
<DRIVERS>\7dgrvvexhr6ylh.sys
<SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\221d00.cat

Удаляет следующие файлы

%WINDIR%\syswow64\drivers\aedcoczg0tccji.sys
%WINDIR%\syswow64\drivers\nso0mqrwuydx.ulw
%WINDIR%\syswow64\3g4f5plhht.sys
%WINDIR%\syswow64\eklkpjimxht.gdn
<SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\etvddx.cat
<SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\221d00.cat

Сетевая активность

Подключается к

'dn#.#lidns.com':443
'dn#.#lidns.com':80
'xc#.#ycsl.top':80
'ap##.#ame.qq.com':80
'sp#.#aidu.com':80
'xc#.#ycsl.top':443

TCP

Запросы HTTP GET

http://dn#.#lidns.com/resolve?na#######################
http://dn#.#lidns.com/resolve?na########################
http://xc#.#eaya.site/pgm/mpr/c995ec7fd4f57c0d/e691ad375852f8cd.zip.md5.txt
http://xc#.#eaya.site/pgm/mpr/c995ec7fd4f57c0d/e691ad375852f8cd.zip
http://xc#.#ycsl.top/pgm/mpr/c995ec7fd4f57c0d/e691ad375852f8cd.zip.md5.txt
http://xc#.#ycsl.top/pgm/mpr/c995ec7fd4f57c0d/e691ad375852f8cd.zip
http://xc#.#ycsl.top/cfg/cmc/ping.txt
http://xc#.#ycsl.top/cfg/cmc/userchange.txt
http://xc#.#ycsl.top/cfg/cmc/userpq.zip
http://ap##.#ame.qq.com/comm-htdocs/ip/get_ip.php
http://sp#.#aidu.com/8aQDcjqpAAV3otqbppnN2DJv/api.php?qu############################################################
http://xc#.#ycsl.top/cfg/cmc/blacklist.txt
http://xc#.#ycsl.top/cfg/user/c995ec7fd4f57c0d/e691ad375852f8cd.json
http://xc#.#ycsl.top/cfg/pub/ms.json
http://xc#.#ycsl.top/cfg/pub/ps.json
http://xc#.#ycsl.top/pgm/mds/a7e45213b3380c84/77750770f7220a1d2c9db3a1a618e82c2fab028ae274d27864.zip
http://xc#.#ycsl.top/pgm/mds/21daadc79a923587/a117bad625beeffcddec38dbeb985e696c6f3f8ac75cda0564.zip
http://xc#.#ycsl.top/pgm/mds/fdd349d7eaf04acc/26a3a60a23f651b1081a33a6f0e71eee54328b36243992f464.zip
http://xc#.#ycsl.top/pgm/mds/263f90e315e63f39/b6fb7e65ccbfa9088f6118064d8ab9f8922ecedd4468fcd764.zip
http://xc#.#ycsl.top/pgm/mds/00ed36f35c33f9c5/be60c2ecfc190e4cf0fc9f7fe5b2f4cf811c04596514ee2064.zip
http://xc#.#ycsl.top/cfg/cmc/ppmldb
http://nr#.#ycsl.top/report/report_data?da#######################################################################################################################################################...
http://xc#.#ycsl.top/cfg/cmc/slfdm.txt
http://xc#.#ycsl.top/cfg/cmc/b2.txt

Другие

'34.##9.100.209':443
'dn#.#lidns.com':443
'xc#.#ycsl.top':443

UDP

DNS ASK xc#.#ycsl.top
DNS ASK dn#.#lidns.com
DNS ASK xc#.#eaya.site
DNS ASK ap##.#ame.qq.com
DNS ASK sp#.#aidu.com
'23#.#23.112.211':51701
'23#.2.2.2':18804

Другое

Создает и запускает на исполнение

'%WINDIR%\inf\klist.exe'

Запускает на исполнение

'<SYSTEM32>\rundll32.exe' <SYSTEM32>\FirewallControlPanel.dll,ShowNotificationDialog /configure /ETOnly 0 /OnProfiles 6 /OtherAllowed 0 /OtherBlocked 0 /OtherEdgeAllowed 0 /NewBlocked 4 "<Полный путь к файлу>"