Trojan.Siggen32.6190

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\microsoftedgeupdatetaskmachinecore{b8ac1668-97d2-42db-94db-d32de50588a1}
<SYSTEM32>\tasks\googleupdatetask
<SYSTEM32>\tasks\googleupdatetasksystem_1d94650_xm7t
<SYSTEM32>\tasks\nvtmrep_crashreport_d2ef18386c7dc46c
<SYSTEM32>\tasks\microsoftedgeupdatetaskmachineua{06428279-4b9b-43cc-d6f2-b2f980ac4740}
<SYSTEM32>\tasks\microsoftlyncmapx{00000000-5d79-21cc-k6f2-e7f980ac4753}

Устанавливает следующие настройки сервисов

[HKLM\SYSTEM\CurrentControlSet\Services\ProgramsCache] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\ProgramsCache] 'ImagePath' = '%ALLUSERSPROFILE%\BraveCrashHandler.exe'
[HKLM\SYSTEM\CurrentControlSet\Services\DevAssocMan] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\DevAssocMan] 'ImagePath' = '%APPDATA%\GoogleCrashHandler.exe'
[HKLM\SYSTEM\CurrentControlSet\Services\NgcCpmrSvc] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\NgcCpmrSvc] 'ImagePath' = '%APPDATA%\GoogleCrashHandler64.exe'
[HKLM\SYSTEM\CurrentControlSet\Services\RegeditCache] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\RegeditCache] 'ImagePath' = '%HOMEPATH%\Embedit.exe'
[HKLM\SYSTEM\CurrentControlSet\Services\RemedyProc] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\RemedyProc] 'ImagePath' = '%LOCALAPPDATA%\SheIlExperienceHost.exe'
[HKLM\SYSTEM\CurrentControlSet\Services\MicrosoftLyncX] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\MicrosoftLyncX] 'ImagePath' = '%APPDATA%\ShelIHostexe'

Создает следующие сервисы

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует запуск следующих системных утилит:

блокирует:

удаляет теневые копии разделов.

добавляет исключения антивируса:

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -exec bypass -enc YwBoAGMAcAAgADYANQAwADAAMQAKACQAUAByAG8AZwByAGUAcwBzAFAAcgBlAGYAZQByAGUAbgBjAGUAIAA9ACAAJwBTAGkAbABlAG4AdABsAHkAQwBvAG4AdABpAG4AdQBlACcACgAKAFMAZQB0AC0ARQB4AGUAYwB1AHQAaQBvAG4...

Изменения в файловой системе

Создает следующие файлы

%TEMP%\83ii6kjd.bat
%ALLUSERSPROFILE%\bravecrashhandler.exe
%APPDATA%\googlecrashhandler.exe
%APPDATA%\googlecrashhandler64.exe
%HOMEPATH%\embedit.exe
%LOCALAPPDATA%\sheilexperiencehost.exe
%APPDATA%\shelihost.exe
%LOCALAPPDATA%\microsoft\windows\actioncentercache\windows-systemtoast-securityandmaintenance_10_0.png

Присваивает атрибут 'скрытый' для следующих файлов

Удаляет файлы, которые сам же создал

Перемещает следующие системные файлы

Сетевая активность

Подключается к

TCP

Запросы HTTP GET

Другие

UDP

Другое

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c ""%TEMP%\83II6KJD.bat" "<Полный путь к файлу>" " (со скрытым окном)
'<SYSTEM32>\chcp.com' 65001
'<SYSTEM32>\whoami.exe'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -exec bypass -enc YwBoAGMAcAAgADYANQAwADAAMQAKACQAUAByAG8AZwByAGUAcwBzAFAAcgBlAGYAZQByAGUAbgBjAGUAIAA9ACAAJwBTAGkAbABlAG4AdABsAHkAQwBvAG4AdABpAG4AdQBlACcACgAKAFMAZQB0AC0ARQB4AGUAYwB1AHQAaQBvAG4...
'<SYSTEM32>\powercfg.exe' /list
'<SYSTEM32>\powercfg.exe' /s
'<SYSTEM32>\secedit.exe' /export /cfg secconfig.cfg
'<SYSTEM32>\secedit.exe' /configure /db secedit.sdb /cfg secconfig.cfg /areas USER_RIGHTS