Trojan.Siggen31.55732

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[HKLM\SYSTEM\CurrentControlSet\Services\TFKUWIZG] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\TFKUWIZG] 'ImagePath' = '%ALLUSERSPROFILE%\gsljspcouhvo\fhgoiyjknajo.exe'
[HKLM\SYSTEM\CurrentControlSet\Services\WinRing0_1_2_0] 'ImagePath' = '%WINDIR%\WinRing0x64.sys'

Создает следующие сервисы

'TFKUWIZG' %ALLUSERSPROFILE%\gsljspcouhvo\fhgoiyjknajo.exe
'WinRing0_1_2_0' %WINDIR%\WinRing0x64.sys

Вредоносные функции

Для затруднения выявления своего присутствия в системе

добавляет исключения антивируса:

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath @($env:UserProfile, $env:ProgramData) -ExclusionExtension '.exe' -Force

Внедряет код в

следующие системные процессы:

<SYSTEM32>\conhost.exe
%WINDIR%\explorer.exe

Изменения в файловой системе

Создает следующие файлы

%ALLUSERSPROFILE%\gsljspcouhvo\fhgoiyjknajo.exe
%WINDIR%\temp\__psscriptpolicytest_zp04vc5v.iwt.ps1
%WINDIR%\temp\__psscriptpolicytest_rubozwal.phu.psm1
%WINDIR%\temp\content\3380-4608-powershell.exe-01-19-06-070.dump
%WINDIR%\temp\content\3380-4608-powershell.exe-01-19-06-302.dump
%WINDIR%\temp\content\3380-4608-powershell.exe-01-19-06-425.dump
%WINDIR%\temp\content\3380-4608-powershell.exe-01-19-06-610.dump
%WINDIR%\temp\content\3380-4608-powershell.exe-01-19-06-673.dump
%WINDIR%\temp\__psscriptpolicytest_gqsr30qn.sut.ps1
%WINDIR%\temp\__psscriptpolicytest_dxtenzfc.122.psm1
%WINDIR%\temp\content\3380-4608-powershell.exe-01-19-08-282.dump
%WINDIR%\temp\content\3380-4608-powershell.exe-01-19-08-303.dump
%WINDIR%\temp\content\3380-4608-powershell.exe-01-19-08-624.dump
%WINDIR%\temp\content\3380-4608-powershell.exe-01-19-08-745.dump
%WINDIR%\temp\content\3380-4608-powershell.exe-01-19-08-892.dump
%WINDIR%\temp\content\3380-4608-powershell.exe-01-19-09-294.dump
%WINDIR%\temp\content\3380-4608-powershell.exe-01-19-10-045.dump
%WINDIR%\temp\content\3380-4608-powershell.exe-01-19-10-257.dump
%WINDIR%\temp\content\3380-4608-powershell.exe-01-19-10-354.dump
%WINDIR%\temp\content\3380-4608-powershell.exe-01-19-10-574.dump
%WINDIR%\temp\content\3380-4608-powershell.exe-01-19-10-605.dump
%WINDIR%\temp\content\3380-4608-powershell.exe-01-19-10-637.dump
%WINDIR%\temp\content\3380-4608-powershell.exe-01-19-10-674.dump
%WINDIR%\temp\content\3380-4608-powershell.exe-01-19-11-698.dump
%WINDIR%\temp\content\3380-4608-powershell.exe-01-19-11-776.dump
%WINDIR%\temp\content\3380-4608-powershell.exe-01-19-11-814.dump
%WINDIR%\temp\content\3380-4608-powershell.exe-01-19-11-816.dump
%WINDIR%\temp\content\3380-4608-powershell.exe-01-19-11-842.dump
%WINDIR%\temp\content\3380-4608-powershell.exe-01-19-11-874.dump
%WINDIR%\temp\content\3380-4608-powershell.exe-01-19-11-905.dump
%WINDIR%\temp\content\3380-4608-powershell.exe-01-19-12-075.dump
<SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\powershell\startupprofiledata-noninteractive
%WINDIR%\temp\pyxmnsqkwgkk.sys

Сетевая активность

Подключается к

'gu##.##neroocean.stream':10128
'po###on-rpc.com':443
'pa###bin.com':443

TCP

Другие

'gu##.##neroocean.stream':10128
'po###on-rpc.com':443
'pa###bin.com':443

UDP

DNS ASK gu##.##neroocean.stream
DNS ASK po###on-rpc.com
DNS ASK pa###bin.com
DNS ASK an###egion.shop

Другое

Создает и запускает на исполнение

'%ALLUSERSPROFILE%\gsljspcouhvo\fhgoiyjknajo.exe'

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c wusa /uninstall /kb:890830 /quiet /norestart
'<SYSTEM32>\sc.exe' delete "TFKUWIZG"
'<SYSTEM32>\sc.exe' create "TFKUWIZG" binpath= "%ALLUSERSPROFILE%\gsljspcouhvo\fhgoiyjknajo.exe" start= "auto"
'<SYSTEM32>\wusa.exe' /uninstall /kb:890830 /quiet /norestart
'<SYSTEM32>\sc.exe' stop eventlog
'<SYSTEM32>\sc.exe' start "TFKUWIZG"
'%WINDIR%\explorer.exe'