Trojan.Siggen31.55785

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[HKLM\SYSTEM\CurrentControlSet\Services\HwidTool] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\HwidTool] 'ImagePath' = '%ProgramFiles(x86)%\HwidTool\HwidTool.exe'

Создает следующие сервисы

'HwidTool' %ProgramFiles(x86)%\HwidTool\HwidTool.exe

Вредоносные функции

Запускает на исполнение

'<SYSTEM32>\taskkill.exe' /F /IM steam.exe
'<SYSTEM32>\taskkill.exe' /IM "leigod.exe"+ /F /T
'<SYSTEM32>\taskkill.exe' /IM "biubiu.exe" /F /T
'<SYSTEM32>\taskkill.exe' /IM "uu.exe" /F /T
'<SYSTEM32>\taskkill.exe' /IM "xunyou.exe" /F /T
'<SYSTEM32>\taskkill.exe' /IM "liuxing.exe" /F /T
'<SYSTEM32>\taskkill.exe' /IM "funiujiasu.exe" /F /T
'<SYSTEM32>\taskkill.exe' /IM "AK.exe" /F /T
'<SYSTEM32>\taskkill.exe' /IM "op.exe" /F /T
'<SYSTEM32>\taskkill.exe' /IM "AJiaSu.exe" /F /T

Изменения в файловой системе

Создает следующие файлы

%ProgramFiles(x86)%\hwidtool\hwidtool.exe

Самоперемещается

из <Полный путь к файлу> в %TEMP%\edojdozjk\cuojdb

Сетевая активность

Подключается к

'20#.#40.143.22':8085
'20#.#40.143.22':8084

TCP

Другие

'20#.#40.143.22':8085
'20#.#40.143.22':8084

Другое

Ищет следующие окна

ClassName: '' WindowName: ''

Создает и запускает на исполнение

'%ProgramFiles(x86)%\hwidtool\hwidtool.exe'

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c cls
'<SYSTEM32>\cmd.exe' /c chcp 437 (со скрытым окном)
'<SYSTEM32>\chcp.com' 437
'<SYSTEM32>\cmd.exe' /c powercfg /h off
'<SYSTEM32>\powercfg.exe' /h off
'<SYSTEM32>\cmd.exe' /c sc delete 32CB8E11-BD0A-45AC-9FD7-028BE3A51B2D
'<SYSTEM32>\sc.exe' delete 32CB8E11-BD0A-45AC-9FD7-028BE3A51B2D
'<SYSTEM32>\cmd.exe' /c sc delete rewg
'<SYSTEM32>\sc.exe' delete rewg
'<SYSTEM32>\cmd.exe' /c taskkill /F /IM steam.exe
'<SYSTEM32>\cmd.exe' /c sc delete HwidTool
'<SYSTEM32>\sc.exe' delete HwidTool
'<SYSTEM32>\cmd.exe' /c sc create HwidTool binPath="%ProgramFiles(x86)%\HwidTool\HwidTool.exe" start=auto DisplayName="HwidTool"
'<SYSTEM32>\sc.exe' create HwidTool binPath="%ProgramFiles(x86)%\HwidTool\HwidTool.exe" start=auto DisplayName="HwidTool"
'<SYSTEM32>\cmd.exe' /c sc failure hwidtool reset= 0 actions= restart/5000
'<SYSTEM32>\sc.exe' failure hwidtool reset= 0 actions= restart/5000
'<SYSTEM32>\cmd.exe' /c taskkill /IM "leigod.exe"+ /F /T
'<SYSTEM32>\cmd.exe' /c taskkill /IM "biubiu.exe" /F /T
'<SYSTEM32>\cmd.exe' /c taskkill /IM "uu.exe" /F /T
'<SYSTEM32>\cmd.exe' /c taskkill /IM "xunyou.exe" /F /T
'<SYSTEM32>\cmd.exe' /c taskkill /IM "liuxing.exe" /F /T
'<SYSTEM32>\cmd.exe' /c taskkill /IM "funiujiasu.exe" /F /T
'<SYSTEM32>\cmd.exe' /c taskkill /IM "AK.exe" /F /T
'<SYSTEM32>\cmd.exe' /c taskkill /IM "op.exe" /F /T
'<SYSTEM32>\cmd.exe' /c taskkill /IM "AJiaSu.exe" /F /T
'<SYSTEM32>\cmd.exe' /c chcp 936 (со скрытым окном)
'<SYSTEM32>\chcp.com' 936
'<SYSTEM32>\cmd.exe' /c wmic diskdrive get SerialNumber (со скрытым окном)
'<SYSTEM32>\wbem\wmic.exe' diskdrive get SerialNumber
'<SYSTEM32>\cmd.exe' /c sc query WinDefend|findstr STATE (со скрытым окном)
'<SYSTEM32>\sc.exe' query WinDefend
'<SYSTEM32>\findstr.exe' STATE
'<SYSTEM32>\cmd.exe' /c wmic path win32_videocontroller get caption,driverversion|findstr NVIDIA (со скрытым окном)
'<SYSTEM32>\wbem\wmic.exe' path win32_videocontroller get caption,driverversion
'<SYSTEM32>\findstr.exe' NVIDIA