Trojan.Siggen32.6157

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] '<Имя файла>.exe' = '%HOMEPATH%\Documents\<Имя файла>.exe'
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'Update' = '%APPDATA%\SecureEdge.exe'

Изменения в файловой системе

Создает следующие файлы

%HOMEPATH%\documents\<Имя файла>.exe
%APPDATA%\secureedge.exe
%TEMP%\07492141.dat
%TEMP%\07492142.dat
%TEMP%\send1.dat
%TEMP%\send2.dat
%TEMP%\36887891.dat
%TEMP%\36887892.dat
%TEMP%\3688789.exe
%TEMP%\onefile_876_134070438003902864\history_new.dll
%TEMP%\onefile_876_134070438003902864\_bz2.pyd
%TEMP%\onefile_876_134070438003902864\_ctypes.pyd
%TEMP%\onefile_876_134070438003902864\_decimal.pyd
%TEMP%\onefile_876_134070438003902864\_elementtree.pyd
%TEMP%\onefile_876_134070438003902864\_hashlib.pyd
%TEMP%\onefile_876_134070438003902864\_lzma.pyd
%TEMP%\onefile_876_134070438003902864\_multiprocessing.pyd
%TEMP%\onefile_876_134070438003902864\_queue.pyd
%TEMP%\onefile_876_134070438003902864\_socket.pyd
%TEMP%\onefile_876_134070438003902864\_sqlite3.pyd
%TEMP%\onefile_876_134070438003902864\_ssl.pyd
%TEMP%\onefile_876_134070438003902864\libcrypto-3.dll
%TEMP%\onefile_876_134070438003902864\libffi-8.dll
%TEMP%\onefile_876_134070438003902864\libssl-3.dll
%TEMP%\onefile_876_134070438003902864\pyexpat.pyd
%TEMP%\onefile_876_134070438003902864\python3.dll
%TEMP%\onefile_876_134070438003902864\python311.dll
%TEMP%\onefile_876_134070438003902864\pythoncom311.dll
%TEMP%\onefile_876_134070438003902864\pywintypes311.dll
%TEMP%\onefile_876_134070438003902864\select.pyd
%TEMP%\onefile_876_134070438003902864\sqlite3.dll
%TEMP%\onefile_876_134070438003902864\unicodedata.pyd
%TEMP%\onefile_876_134070438003902864\vcruntime140.dll
%TEMP%\onefile_876_134070438003902864\vcruntime140_1.dll
%TEMP%\onefile_876_134070438003902864\win32clipboard.pyd
%TEMP%\onefile_876_134070438003902864\psutil\_psutil_windows.pyd
%TEMP%\29016611.dat
%TEMP%\583h8r6v
%TEMP%\v5jwoxbf
%TEMP%\tmpbqmkstca
%TEMP%\tmphaboy_28
%TEMP%\log\chrome\default\history - 1.txt
%TEMP%\tmps7jnaumq
%TEMP%\tmpq3bkx57a
%TEMP%\tmpokzbnny5
%TEMP%\zsq6kh1l
%TEMP%\tmpnilzict7
%TEMP%\tmp2d4xbixd.sqlite
%TEMP%\tmp6er4bg6p
%TEMP%\tmp2d4xbixd.sqlite-shm
%TEMP%\tmpwzin9jp8.sqlite
%TEMP%\tmpwzin9jp8.sqlite-shm
%TEMP%\log\firefox\dnyauhh1.default-release\bookmarks - 5.txt
%TEMP%\tmp8wtdh_g5
%TEMP%\tmp5b3wxat1.sqlite
%TEMP%\29016612.dat
%TEMP%\log\history - 1.txt
%TEMP%\log\bookmarks - 5.txt
%TEMP%\log\clipboard.txt

Присваивает атрибут 'скрытый' для следующих файлов

%APPDATA%\secureedge.exe

Удаляет файлы, которые сам же создал

%TEMP%\36887891.dat
%TEMP%\36887892.dat
%TEMP%\583h8r6v
%TEMP%\v5jwoxbf
%TEMP%\tmpbqmkstca
%TEMP%\tmphaboy_28
%TEMP%\tmpq3bkx57a
%TEMP%\tmpokzbnny5
%TEMP%\zsq6kh1l
%TEMP%\tmpnilzict7
%TEMP%\tmp6er4bg6p
%TEMP%\tmp2d4xbixd.sqlite
%TEMP%\tmpwzin9jp8.sqlite
%TEMP%\tmp5b3wxat1.sqlite
%TEMP%\tmps7jnaumq
%TEMP%\tmp8wtdh_g5
%TEMP%\29016611.dat
%TEMP%\29016612.dat

Изменяет следующие файлы

Сетевая активность

Подключается к

'mo#####.map.fastly.net':443
'co##############e-chains.prod.autograph.services.mozaws.net':443
'ra#.####ubusercontent.com':443

TCP

Другие

'ra#.####ubusercontent.com':443

UDP

DNS ASK mo#####.map.fastly.net
DNS ASK co##############e-chains.prod.autograph.services.mozaws.net
DNS ASK ra#.####ubusercontent.com

Другое

Создает и запускает на исполнение

'%TEMP%\3688789.exe' --Execute
'%TEMP%\3688789.exe' "--multiprocessing-fork" "parent_pid=5888" "pipe_handle=588"
'%TEMP%\3688789.exe' "--multiprocessing-fork" "parent_pid=5888" "pipe_handle=596"
'%TEMP%\3688789.exe' "--multiprocessing-fork" "parent_pid=5888" "pipe_handle=608"
'%TEMP%\3688789.exe' "--multiprocessing-fork" "parent_pid=5888" "pipe_handle=636"

Перезапускает анализируемый образец

Запускает на исполнение

'<SYSTEM32>\cmd.exe' reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /v "<Имя файла>.exe" /t REG_SZ /d "%HOMEPATH%\Documents\<Имя файла>.exe" /f
'<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /v "<Имя файла>.exe" /t REG_SZ /d "%HOMEPATH%\Documents\<Имя файла>.exe" /f
'<SYSTEM32>\cmd.exe' /c "ver" (со скрытым окном)
'<SYSTEM32>\wbem\wmic.exe' os get Version
'<SYSTEM32>\wbem\wmic.exe' cpu get Name,CurrentClockSpeed,L2CacheSize,L3CacheSize,Description,Caption,Manufacturer /format:list