Trojan.Siggen31.63699

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[HKLM\SYSTEM\CurrentControlSet\Services\CztQsWbOgQXUlI] 'ImagePath' = '%TEMP%\CztQsWbOgQXUlI'
[HKLM\SYSTEM\CurrentControlSet\Services\BdApiUtil64] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\BdApiUtil64] 'ImagePath' = 'C:\Users\Public\Documents\WindowsData\BdApiUtil64.sys'
[HKLM\SYSTEM\CurrentControlSet\Services\Cndom6] 'ImagePath' = 'C:\Cndom6.sys'
[HKLM\SYSTEM\CurrentControlSet\Services\XiaoH] 'ImagePath' = 'C:\XiaoH.sys'

Создает следующие сервисы

'CztQsWbOgQXUlI' %TEMP%\CztQsWbOgQXUlI
'BdApiUtil64' C:\Users\Public\Documents\WindowsData\BdApiUtil64.sys
'Cndom6' C:\Cndom6.sys
'XiaoH' C:\XiaoH.sys

Вредоносные функции

Внедряет код в

следующие системные процессы:

%WINDIR%\syswow64\tracerpt.exe
%WINDIR%\syswow64\svchost.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\is-f5ngv.tmp\<Имя файла>.tmp
%TEMP%\is-bhvmq.tmp\_isetup\_setup64.tmp
%TEMP%\is-bhvmq.tmp\_isetup\_shfoldr.dll
%ALLUSERSPROFILE%\windowsdata\is-22tb8.tmp
%ALLUSERSPROFILE%\windowsdata\is-0soun.tmp
%ALLUSERSPROFILE%\windowsdata\is-adg29.tmp
%ALLUSERSPROFILE%\windowsdata\funzip.exe
%ALLUSERSPROFILE%\windowsdata\men.exe
C:\users\public\documents\windowsdata\tree.exe
C:\users\public\documents\windowsdata\me.key
C:\users\public\documents\windowsdata\edr.key
C:\users\public\documents\windowsdata\kail.exe
C:\users\public\documents\windowsdata\nvidia.exe
C:\users\public\documents\windowsdata\x.vbe
C:\users\public\documents\windowsdata\bypass.exe
C:\users\public\documents\windowsdata\bdapiutil64.sys
C:\users\public\documents\windowsdata\kgsekkdkce.exe
C:\users\public\documents\windowsdata\nvidia.lnk
C:\users\public\documents\windowsdata\rwdriver.cat
C:\users\public\documents\windowsdata\rwdriver.sys
C:\users\public\documents\windowsdata\main.exe
%TEMP%\cztqswbogqxuli
C:\users\public\documents\windowsdata\nthandlecallback.exe
C:\users\public\documents\windowsdata\log.dll
C:\cndom6.sys
C:\xiaoh.sys
%ALLUSERSPROFILE%\displaysessioncontainers.log

Удаляет файлы, которые сам же создал

%ALLUSERSPROFILE%\windowsdata\gynxyplttm.xml
%TEMP%\is-bhvmq.tmp\_isetup\_setup64.tmp
%TEMP%\is-bhvmq.tmp\_isetup\_shfoldr.dll
%TEMP%\is-f5ngv.tmp\<Имя файла>.tmp
C:\xiaoh.sys
C:\users\public\documents\windowsdata\log.dll
C:\users\public\documents\windowsdata\main.exe

Перемещает следующие файлы

%ALLUSERSPROFILE%\windowsdata\is-22tb8.tmp в %ALLUSERSPROFILE%\windowsdata\gynxyplttm.xml
%ALLUSERSPROFILE%\windowsdata\is-0soun.tmp в %ALLUSERSPROFILE%\windowsdata\main.xml
%ALLUSERSPROFILE%\windowsdata\is-adg29.tmp в %ALLUSERSPROFILE%\windowsdata\server.log
%ALLUSERSPROFILE%\windowsdata\server.log в C:\users\public\documents\windowsdata\server.log

Сетевая активность

Подключается к

'14.##8.50.89':9000

TCP

Другие

'14.##8.50.89':9000

Другое

Создает и запускает на исполнение

'%TEMP%\is-f5ngv.tmp\<Имя файла>.tmp' /SL5="$802A4,3164615,161792,<Полный путь к файлу>"
'%ALLUSERSPROFILE%\windowsdata\funzip.exe' x -y -phtLcENyRFYwXsHFnUnqK -o"%ALLUSERSPROFILE%\WindowsData" "%ALLUSERSPROFILE%\WindowsData\main.xml"
'%ALLUSERSPROFILE%\windowsdata\men.exe'
'C:\users\public\documents\windowsdata\nvidia.exe'
'C:\users\public\documents\windowsdata\bypass.exe'
'C:\users\public\documents\windowsdata\kgsekkdkce.exe'
'C:\users\public\documents\windowsdata\nthandlecallback.exe'
'C:\users\public\documents\windowsdata\main.exe' 1
'C:\users\public\documents\windowsdata\main.exe' 2

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c wmic path win32_networkadapter where NetEnabled=FALSE call enable (со скрытым окном)
'<SYSTEM32>\wbem\wmic.exe' path win32_networkadapter where NetEnabled=FALSE call enable
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -NoProfile -WindowStyle Hidden -Command "[Console]::OutputEncoding=[System.Text.Encoding]::UTF8;(Get-MpPreference).ExclusionPath|Out-String -Width 4096" (со скрытым окном)
'%WINDIR%\syswow64\tracerpt.exe' (со скрытым окном)
'<SYSTEM32>\sc.exe' create rwdriver binPath= "C:\Users\Public\Documents\WindowsData\rwdriver.sys" type= kernel start= demand (со скрытым окном)
'<SYSTEM32>\sc.exe' start rwdriver (со скрытым окном)
'<SYSTEM32>\sc.exe' stop rwdriver (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c "takeown /f "HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Schedule\\TaskCache\\Tree\WindowsPowerShell.WbemScripting.SWbemLocator" /a >nul 2>&1 & icacls "HKLM\\SOFTWARE\\Microsoft\\... (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c del /f /q "C:\Users\Public\Documents\*.*" & rmdir /s /q "C:\Users\Public\Documents" & del /f /q "%ALLUSERSPROFILE%\WindowsData\*.*" & rmdir /s /q "%ALLUSERSPROFILE%\WindowsData" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c del.bat (со скрытым окном)
'<SYSTEM32>\takeown.exe' /f "HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Schedule\\TaskCache\\Tree\WindowsPowerShell.WbemScripting.SWbemLocator" /a
'<SYSTEM32>\ping.exe' -n 2 127.0.0.1
'<SYSTEM32>\icacls.exe' "HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Schedule\\TaskCache\\Tree\WindowsPowerShell.WbemScripting.SWbemLocator" /grant Administrators:F
'%ALLUSERSPROFILE%\windowsdata\funzip.exe' x -y -phtLcENyRFYwXsHFnUnqK -o"%ALLUSERSPROFILE%\WindowsData" "%ALLUSERSPROFILE%\WindowsData\main.xml" (со скрытым окном)
'%ALLUSERSPROFILE%\windowsdata\men.exe' (со скрытым окном)
'C:\users\public\documents\windowsdata\nvidia.exe' (со скрытым окном)
'C:\users\public\documents\windowsdata\nthandlecallback.exe' (со скрытым окном)
'C:\users\public\documents\windowsdata\main.exe' 1 (со скрытым окном)
'C:\users\public\documents\windowsdata\main.exe' 2 (со скрытым окном)