Trojan.Siggen31.48125

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[HKLM\SYSTEM\CurrentControlSet\Services\XLZQHCLS] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\XLZQHCLS] 'ImagePath' = '%ALLUSERSPROFILE%\oaocofwmfjha\gmstcccpdzbb.exe'
[HKLM\SYSTEM\CurrentControlSet\Services\WinRing0_1_2_0] 'ImagePath' = '%WINDIR%\TEMP\zlileccummwx.sys'

Создает следующие сервисы

'XLZQHCLS' %ALLUSERSPROFILE%\oaocofwmfjha\gmstcccpdzbb.exe
'WinRing0_1_2_0' %WINDIR%\TEMP\zlileccummwx.sys

Вредоносные функции

Для затруднения выявления своего присутствия в системе

добавляет исключения антивируса:

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath @($env:UserProfile, $env:ProgramData) -ExclusionExtension '.exe' -Force

Внедряет код в

следующие системные процессы:

<SYSTEM32>\conhost.exe

Изменения в файловой системе

Создает следующие файлы

%ALLUSERSPROFILE%\oaocofwmfjha\gmstcccpdzbb.exe
%WINDIR%\temp\__psscriptpolicytest_dvdkog42.gkc.ps1
%WINDIR%\temp\__psscriptpolicytest_ucpayclq.4q2.psm1
%WINDIR%\temp\content\2436-2504-powershell.exe-17-59-41-263.dump
%WINDIR%\temp\content\2436-2504-powershell.exe-17-59-41-520.dump
%WINDIR%\temp\content\2436-2504-powershell.exe-17-59-41-702.dump
%WINDIR%\temp\content\2436-2504-powershell.exe-17-59-41-942.dump
%WINDIR%\temp\content\2436-2504-powershell.exe-17-59-42-000.dump
%WINDIR%\temp\__psscriptpolicytest_tk3rynh0.uoa.ps1
%WINDIR%\temp\__psscriptpolicytest_e50ptd5v.fnt.psm1
%WINDIR%\temp\content\2436-2504-powershell.exe-17-59-42-271.dump
%WINDIR%\temp\content\2436-2504-powershell.exe-17-59-42-346.dump
%WINDIR%\temp\content\2436-2504-powershell.exe-17-59-42-447.dump
%WINDIR%\temp\content\2436-2504-powershell.exe-17-59-42-566.dump
%WINDIR%\temp\content\2436-2504-powershell.exe-17-59-42-766.dump
%WINDIR%\temp\content\2436-2504-powershell.exe-17-59-42-882.dump
%WINDIR%\temp\content\2436-2504-powershell.exe-17-59-43-000.dump
%WINDIR%\temp\content\2436-2504-powershell.exe-17-59-43-053.dump
%WINDIR%\temp\content\2436-2504-powershell.exe-17-59-43-085.dump
%WINDIR%\temp\content\2436-2504-powershell.exe-17-59-43-147.dump
%WINDIR%\temp\content\2436-2504-powershell.exe-17-59-43-176.dump
%WINDIR%\temp\content\2436-2504-powershell.exe-17-59-43-493.dump
%WINDIR%\temp\content\2436-2504-powershell.exe-17-59-43-517.dump
%WINDIR%\temp\content\2436-2504-powershell.exe-17-59-44-433.dump
%WINDIR%\temp\content\2436-2504-powershell.exe-17-59-44-507.dump
%WINDIR%\temp\content\2436-2504-powershell.exe-17-59-44-556.dump
%WINDIR%\temp\content\2436-2504-powershell.exe-17-59-44-598.dump
%WINDIR%\temp\content\2436-2504-powershell.exe-17-59-45-169.dump
%WINDIR%\temp\content\2436-2504-powershell.exe-17-59-45-392.dump
<SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\powershell\startupprofiledata-noninteractive
%WINDIR%\temp\zlileccummwx.sys

Сетевая активность

UDP

DNS ASK po##.#ashvault.pro

Другое

Создает и запускает на исполнение

'%ALLUSERSPROFILE%\oaocofwmfjha\gmstcccpdzbb.exe'

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c wusa /uninstall /kb:890830 /quiet /norestart
'<SYSTEM32>\sc.exe' stop UsoSvc
'<SYSTEM32>\wusa.exe' /uninstall /kb:890830 /quiet /norestart
'<SYSTEM32>\sc.exe' stop WaaSMedicSvc
'<SYSTEM32>\sc.exe' stop wuauserv
'<SYSTEM32>\sc.exe' stop bits
'<SYSTEM32>\sc.exe' stop dosvc
'<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-ac 0
'<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-dc 0
'<SYSTEM32>\powercfg.exe' /x -standby-timeout-ac 0
'<SYSTEM32>\powercfg.exe' /x -standby-timeout-dc 0
'<SYSTEM32>\sc.exe' delete "XLZQHCLS"
'<SYSTEM32>\sc.exe' create "XLZQHCLS" binpath= "%ALLUSERSPROFILE%\oaocofwmfjha\gmstcccpdzbb.exe" start= "auto"
'<SYSTEM32>\sc.exe' stop eventlog
'<SYSTEM32>\sc.exe' start "XLZQHCLS"