Trojan.Siggen31.63336

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\chromeupgradeupdater
<SYSTEM32>\tasks\chromeupgradeupdaterhourly
<SYSTEM32>\tasks\chromeupgradeupdaterlogon

Вредоносные функции

Для затруднения выявления своего присутствия в системе

добавляет исключения антивируса:

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -ExecutionPolicy Bypass -Command "Add-MpPreference -ExclusionPath '%ALLUSERSPROFILE%\ChromeUpgrade'"
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -ExecutionPolicy Bypass -Command "Add-MpPreference -ExclusionProcess '%ALLUSERSPROFILE%\ChromeUpgrade\current\chromeup.exe'"
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -ExecutionPolicy Bypass -Command "Add-MpPreference -ExclusionProcess '%ALLUSERSPROFILE%\ChromeUpgrade\service\ChromeUpgrade.exe'"

Изменения в файловой системе

Создает следующие файлы

%TEMP%\_mei9682\vcruntime140.dll
%TEMP%\_mei9682\vcruntime140_1.dll
%TEMP%\_mei9682\_bz2.pyd
%TEMP%\_mei9682\_ctypes.pyd
%TEMP%\_mei9682\_decimal.pyd
%TEMP%\_mei9682\_hashlib.pyd
%TEMP%\_mei9682\_lzma.pyd
%TEMP%\_mei9682\_queue.pyd
%TEMP%\_mei9682\_socket.pyd
%TEMP%\_mei9682\_ssl.pyd
%TEMP%\_mei9682\base_library.zip
%TEMP%\_mei9682\certifi\cacert.pem
%TEMP%\_mei9682\charset_normalizer\md.cp312-win_amd64.pyd
%TEMP%\_mei9682\charset_normalizer\md__mypyc.cp312-win_amd64.pyd
%TEMP%\_mei9682\libcrypto-3.dll
%TEMP%\_mei9682\libffi-8.dll
%TEMP%\_mei9682\libssl-3.dll
%TEMP%\_mei9682\python312.dll
%TEMP%\_mei9682\pywintypes312.dll
%TEMP%\_mei9682\select.pyd
%TEMP%\_mei9682\unicodedata.pyd
%TEMP%\_mei9682\win32\win32api.pyd
%TEMP%\_mei9682\win32\win32evtlog.pyd
%ALLUSERSPROFILE%\chromeupgrade\service\chromeupgrade.exe
%TEMP%\_mei22562\vcruntime140.dll
%TEMP%\_mei22562\vcruntime140_1.dll
%TEMP%\_mei22562\_bz2.pyd
%TEMP%\_mei22562\_ctypes.pyd
%TEMP%\_mei22562\_decimal.pyd
%TEMP%\_mei22562\_hashlib.pyd
%TEMP%\_mei22562\_lzma.pyd
%TEMP%\_mei22562\_queue.pyd
%TEMP%\_mei22562\_socket.pyd
%TEMP%\_mei22562\_ssl.pyd
%TEMP%\_mei22562\base_library.zip
%TEMP%\_mei22562\certifi\cacert.pem
%TEMP%\_mei22562\charset_normalizer\md.cp312-win_amd64.pyd
%TEMP%\_mei22562\charset_normalizer\md__mypyc.cp312-win_amd64.pyd
%TEMP%\_mei22562\libcrypto-3.dll
%TEMP%\_mei22562\libffi-8.dll
%TEMP%\_mei22562\libssl-3.dll
%TEMP%\_mei22562\python312.dll
%TEMP%\_mei22562\pywintypes312.dll
%TEMP%\_mei22562\select.pyd
%TEMP%\_mei22562\unicodedata.pyd
%TEMP%\_mei22562\win32\win32api.pyd
%TEMP%\_mei22562\win32\win32evtlog.pyd
%ALLUSERSPROFILE%\logs\chromeupgrade\chromeupgrade.log
%TEMP%\4sv92qdq
%TEMP%\tmpqkhqzo4i
%ALLUSERSPROFILE%\chromeupgrade\staging\chromeup.cmd
%ALLUSERSPROFILE%\chromeupgrade\staging\chromeup.exe
%ALLUSERSPROFILE%\chromeupgrade\staging\runner\chromeupgrade.exe
%ALLUSERSPROFILE%\chromeupgrade\meta\chromeupgrade_new.exe

Удаляет файлы, которые сам же создал

%TEMP%\_mei9682\base_library.zip
%TEMP%\_mei9682\certifi\cacert.pem
%TEMP%\_mei9682\charset_normalizer\md.cp312-win_amd64.pyd
%TEMP%\_mei9682\charset_normalizer\md__mypyc.cp312-win_amd64.pyd
%TEMP%\_mei9682\libcrypto-3.dll
%TEMP%\_mei9682\libffi-8.dll
%TEMP%\_mei9682\libssl-3.dll
%TEMP%\_mei9682\python312.dll
%TEMP%\_mei9682\pywintypes312.dll
%TEMP%\_mei9682\select.pyd
%TEMP%\_mei9682\unicodedata.pyd
%TEMP%\_mei9682\vcruntime140.dll
%TEMP%\_mei9682\vcruntime140_1.dll
%TEMP%\_mei9682\win32\win32api.pyd
%TEMP%\_mei9682\win32\win32evtlog.pyd
%TEMP%\_mei9682\_bz2.pyd
%TEMP%\_mei9682\_ctypes.pyd
%TEMP%\_mei9682\_decimal.pyd
%TEMP%\_mei9682\_hashlib.pyd
%TEMP%\_mei9682\_lzma.pyd
%TEMP%\_mei9682\_queue.pyd
%TEMP%\_mei9682\_socket.pyd
%TEMP%\_mei9682\_ssl.pyd
%TEMP%\4sv92qdq

Перемещает следующие файлы

%TEMP%\tmpqkhqzo4i в %ALLUSERSPROFILE%\chromeupgrade\meta\package.zip

Сетевая активность

Подключается к

'br###scu.com':80
'br###scu.com':443

TCP

Запросы HTTP GET

http://br###scu.com/ChromeUpgradeIPS/chrome2025.zip

Другие

'br###scu.com':443

UDP

DNS ASK br###scu.com

Другое

Создает и запускает на исполнение

'%ALLUSERSPROFILE%\chromeupgrade\service\chromeupgrade.exe'

Перезапускает анализируемый образец

Запускает на исполнение

'<SYSTEM32>\schtasks.exe' /Query /TN ChromeUpgradeUpdater
'<SYSTEM32>\schtasks.exe' /Query /TN ChromeUpgradeUpdaterHourly
'<SYSTEM32>\schtasks.exe' /Query /TN ChromeUpgradeUpdaterLogon
'<SYSTEM32>\schtasks.exe' /Query /TN ChromeUpgradeServiceOnStart
'<SYSTEM32>\schtasks.exe' /Create /F /TN ChromeUpgradeUpdater /TR "\"%ALLUSERSPROFILE%\ChromeUpgrade\service\ChromeUpgrade.exe\" --update" /SC DAILY /ST 12:00 /RU SYSTEM /RL HIGHEST
'<SYSTEM32>\schtasks.exe' /Create /F /TN ChromeUpgradeUpdaterHourly /TR "\"%ALLUSERSPROFILE%\ChromeUpgrade\service\ChromeUpgrade.exe\" --update" /SC HOURLY /MO 2 /RU SYSTEM /RL HIGHEST
'<SYSTEM32>\schtasks.exe' /Create /F /TN ChromeUpgradeUpdaterLogon /TR "\"%ALLUSERSPROFILE%\ChromeUpgrade\service\ChromeUpgrade.exe\" --update" /SC ONLOGON /RU SYSTEM /RL HIGHEST
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -ExecutionPolicy Bypass -Command "$ErrorActionPreference='SilentlyContinue'; Get-Command Get-MpPreference"
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -ExecutionPolicy Bypass -Command "$ErrorActionPreference='SilentlyContinue'; (Get-MpComputerStatus).TamperProtection"
'<SYSTEM32>\cmd.exe' /c %ALLUSERSPROFILE%\ChromeUpgrade\current\chromeup.cmd
'<SYSTEM32>\schtasks.exe' /Create /F /TN ChromeUpgradeServiceOnStart /TR "cmd.exe /c \"%ALLUSERSPROFILE%\ChromeUpgrade\current\chromeup.cmd\"" /SC ONSTART /RU SYSTEM /RL HIGHEST
'<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq chromeup.exe"
'<SYSTEM32>\find.exe' /I "chromeup.exe"
'%ALLUSERSPROFILE%\chromeupgrade\service\chromeupgrade.exe' (со скрытым окном)