Trojan.Siggen32.5570

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Nursultan(v1)' = '%TEMP%\Nursultan(v1).exe'
[HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows] 'AppInit_DLLs' = '%WINDIR%\xdwd.dll'
[HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows] 'LoadAppInit_DLLs' = '00000001'
[HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\winlogon] 'Userinit' = '<SYSTEM32>\userinit.exe,%HOMEPATH%\svchost'

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\crss

Вредоносные функции

Для затруднения выявления своего присутствия в системе

добавляет исключения антивируса:

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass Add-MpPreference -ExclusionPath '%TEMP%\Nursultan(v1).exe'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '%TEMP%\MeinBild.exe'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableIntrusionPreventionSystem $true -DisableIOAVProtection $true -DisableRealtimeMonitoring $true -DisableScriptScanning $true -EnableControlledFolderAccess Disabled -Enabl...

Изменения в файловой системе

Создает следующие файлы

%TEMP%\content\4464-3888-<Имя файла>.exe-21-10-58-806.dump
%TEMP%\meinbild.exe
%TEMP%\_mei48722\vcruntime140.dll
%TEMP%\_mei48722\vcruntime140_1.dll
%TEMP%\_mei48722\_asyncio.pyd
%TEMP%\_mei48722\_bz2.pyd
%TEMP%\_mei48722\_ctypes.pyd
%TEMP%\_mei48722\_decimal.pyd
%TEMP%\_mei48722\_hashlib.pyd
%TEMP%\_mei48722\_lzma.pyd
%TEMP%\_mei48722\_multiprocessing.pyd
%TEMP%\_mei48722\_overlapped.pyd
%TEMP%\_mei48722\_queue.pyd
%TEMP%\_mei48722\_socket.pyd
%TEMP%\_mei48722\_sqlite3.pyd
%TEMP%\_mei48722\_ssl.pyd
%TEMP%\_mei48722\_wmi.pyd
%TEMP%\_mei48722\base_library.zip
%TEMP%\_mei48722\blank.aes
%TEMP%\_mei48722\libcrypto-3.dll
%TEMP%\_mei48722\libffi-8.dll
%TEMP%\_mei48722\libssl-3.dll
%TEMP%\_mei48722\pyexpat.pyd
%TEMP%\_mei48722\python313.dll
%TEMP%\_mei48722\rar.exe
%TEMP%\_mei48722\rarreg.key
%TEMP%\_mei48722\select.pyd
%TEMP%\_mei48722\setuptools\_vendor\importlib_metadata-8.0.0.dist-info\installer
%TEMP%\_mei48722\setuptools\_vendor\importlib_metadata-8.0.0.dist-info\license
%TEMP%\_mei48722\setuptools\_vendor\importlib_metadata-8.0.0.dist-info\metadata
%TEMP%\_mei48722\setuptools\_vendor\importlib_metadata-8.0.0.dist-info\record
%TEMP%\_mei48722\setuptools\_vendor\importlib_metadata-8.0.0.dist-info\wheel
%TEMP%\_mei48722\setuptools\_vendor\importlib_metadata-8.0.0.dist-info\top_level.txt
%TEMP%\_mei48722\setuptools\_vendor\jaraco\text\lorem ipsum.txt
%TEMP%\_mei48722\sqlite3.dll
%TEMP%\_mei48722\unicodedata.pyd
%TEMP%\nursultan(v1).exe
%LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\<Имя файла>.exe.log
%HOMEPATH%\svchost
%APPDATA%\microsoft\windows\templates\crss
%WINDIR%\xdwd.dll

Присваивает атрибут 'скрытый' для следующих файлов

%HOMEPATH%\svchost
%APPDATA%\microsoft\windows\templates\crss

Сетевая активность

UDP

DNS ASK gs##tic.com
DNS ASK fe######-cap.gl.at.ply.gg

Другое

Создает и запускает на исполнение

'%TEMP%\meinbild.exe'
'%TEMP%\nursultan(v1).exe'

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c "powershell -Command Add-MpPreference -ExclusionPath '%TEMP%\MeinBild.exe'" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c "powershell Set-MpPreference -DisableIntrusionPreventionSystem $true -DisableIOAVProtection $true -DisableRealtimeMonitoring $true -DisableScriptScanning $true -EnableControlledFolderAccess ... (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C SchTaSKs /CrEAte /F /sc OnLoGoN /rl HighEst /tn "crss" /tr "%HOMEPATH%\svchost" & exit
'<SYSTEM32>\schtasks.exe' /CrEAte /F /sc OnLoGoN /rl HighEst /tn "crss" /tr "%HOMEPATH%\svchost"
'<SYSTEM32>\cmd.exe' /c SchTaSKs /create /f /sc minute /mo -1 /tn "svchost" /tr "%HOMEPATH%\svchost" /RL HIGHEST & exit
'<SYSTEM32>\cmd.exe' /c SchTaSKs /create /f /sc minute /mo 5 /tn "crss" /tr "%APPDATA%\Microsoft\Windows\Templates\crss" /RL HIGHEST & exit
'<SYSTEM32>\schtasks.exe' /create /f /sc minute /mo -1 /tn "svchost" /tr "%HOMEPATH%\svchost" /RL HIGHEST
'<SYSTEM32>\schtasks.exe' /create /f /sc minute /mo 5 /tn "crss" /tr "%APPDATA%\Microsoft\Windows\Templates\crss" /RL HIGHEST
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass Add-MpPreference -ExclusionPath '%TEMP%\Nursultan(v1).exe' (со скрытым окном)