Trojan.Siggen31.48329

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[HKLM\SYSTEM\CurrentControlSet\Services\G4QYP396] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\G4QYP396] 'ImagePath' = '%ALLUSERSPROFILE%\bsnos5p3fcer\rkmh52fjrsex.exe'

Создает следующие сервисы

'G4QYP396' %ALLUSERSPROFILE%\bsnos5p3fcer\rkmh52fjrsex.exe

Вредоносные функции

Для затруднения выявления своего присутствия в системе

добавляет исключения антивируса:

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath @($env:UserProfile, $env:ProgramData) -ExclusionExtension '.exe' -Force

Внедряет код в

следующие системные процессы:

<SYSTEM32>\conhost.exe
<SYSTEM32>\dwm.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\miner.exe
%ALLUSERSPROFILE%\bsnos5p3fcer\rkmh52fjrsex.exe
%WINDIR%\temp\__psscriptpolicytest_235esr1z.yvb.ps1
%WINDIR%\temp\__psscriptpolicytest_3orkszst.pst.psm1
%WINDIR%\temp\content\2736-1120-powershell.exe-17-10-37-590.dump
%WINDIR%\temp\content\2736-1120-powershell.exe-17-10-38-110.dump
%WINDIR%\temp\content\2736-1120-powershell.exe-17-10-38-709.dump
%WINDIR%\temp\content\2736-1120-powershell.exe-17-10-39-006.dump
%WINDIR%\temp\content\2736-1120-powershell.exe-17-10-39-051.dump
%WINDIR%\temp\__psscriptpolicytest_gs3zet45.aln.ps1
%WINDIR%\temp\__psscriptpolicytest_f2qfbw0a.uap.psm1
%WINDIR%\temp\content\2736-1120-powershell.exe-17-10-39-410.dump
%WINDIR%\temp\content\2736-1120-powershell.exe-17-10-39-457.dump
%WINDIR%\temp\content\2736-1120-powershell.exe-17-10-39-734.dump
%WINDIR%\temp\content\2736-1120-powershell.exe-17-10-39-898.dump
%WINDIR%\temp\content\2736-1120-powershell.exe-17-10-40-154.dump
%WINDIR%\temp\content\2736-1120-powershell.exe-17-10-40-362.dump
%WINDIR%\temp\content\2736-1120-powershell.exe-17-10-40-715.dump
%WINDIR%\temp\content\2736-1120-powershell.exe-17-10-40-883.dump
%WINDIR%\temp\content\2736-1120-powershell.exe-17-10-40-935.dump
%WINDIR%\temp\content\2736-1120-powershell.exe-17-10-41-011.dump
%WINDIR%\temp\content\2736-1120-powershell.exe-17-10-41-068.dump
%WINDIR%\temp\content\2736-1120-powershell.exe-17-10-41-112.dump
%WINDIR%\temp\content\2736-1120-powershell.exe-17-10-41-171.dump
%WINDIR%\temp\content\2736-1120-powershell.exe-17-10-41-866.dump
%WINDIR%\temp\content\2736-1120-powershell.exe-17-10-41-944.dump
%WINDIR%\temp\content\2736-1120-powershell.exe-17-10-41-998.dump
%WINDIR%\temp\content\2736-1120-powershell.exe-17-10-42-014.dump
%WINDIR%\temp\content\2736-1120-powershell.exe-17-10-42-061.dump
%WINDIR%\temp\content\2736-1120-powershell.exe-17-10-42-083.dump
%WINDIR%\temp\content\2736-1120-powershell.exe-17-10-42-167.dump
<SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\powershell\startupprofiledata-noninteractive
%WINDIR%\temp\nckuddfrwvag.sys

Сетевая активность

Подключается к

'pa###bin.com':443
'po##.#ashvault.pro':443

TCP

Запросы HTTP GET

http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?dc##############

Другие

'pa###bin.com':443
'po##.#ashvault.pro':443

UDP

DNS ASK pa###bin.com
DNS ASK po##.#ashvault.pro

Другое

Ищет следующие окна

ClassName: 'OleMainThreadWndClass' WindowName: ''
ClassName: 'EDIT' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\miner.exe'
'%ALLUSERSPROFILE%\bsnos5p3fcer\rkmh52fjrsex.exe'

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c wusa /uninstall /kb:890830 /quiet /norestart
'<SYSTEM32>\sc.exe' stop UsoSvc
'<SYSTEM32>\wusa.exe' /uninstall /kb:890830 /quiet /norestart
'<SYSTEM32>\sc.exe' stop WaaSMedicSvc
'<SYSTEM32>\sc.exe' stop wuauserv
'<SYSTEM32>\sc.exe' stop bits
'<SYSTEM32>\sc.exe' stop dosvc
'<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-ac 0
'<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-dc 0
'<SYSTEM32>\powercfg.exe' /x -standby-timeout-ac 0
'<SYSTEM32>\powercfg.exe' /x -standby-timeout-dc 0
'<SYSTEM32>\sc.exe' delete "G4QYP396"
'<SYSTEM32>\sc.exe' create "G4QYP396" binpath= "%ALLUSERSPROFILE%\bsnos5p3fcer\rkmh52fjrsex.exe" start= "auto"
'<SYSTEM32>\sc.exe' stop eventlog
'<SYSTEM32>\sc.exe' start "G4QYP396"
'<SYSTEM32>\dwm.exe' (со скрытым окном)