Trojan.Siggen32.8447

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[HKLM\SYSTEM\CurrentControlSet\Services\Locktime] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\Locktime] 'ImagePath' = '%ALLUSERSPROFILE%\Locktime\NetLimiter.exe'

Создает следующие сервисы

'Locktime' %ALLUSERSPROFILE%\Locktime\NetLimiter.exe

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует:

Журнал событий Windows (Windows Event Logging)

добавляет исключения антивируса:

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath @($env:UserProfile, $env:ProgramData) -ExclusionExtension '.exe' -Force

Внедряет код в

следующие системные процессы:

<SYSTEM32>\conhost.exe
<SYSTEM32>\svchost.exe

Изменения в файловой системе

Создает следующие файлы

%ALLUSERSPROFILE%\locktime\netlimiter.exe
%WINDIR%\temp\__psscriptpolicytest_e4bm44qr.bdz.ps1
%WINDIR%\temp\__psscriptpolicytest_eyvpykfr.gn0.psm1
%WINDIR%\temp\content\3300-3056-powershell.exe-20-01-44-603.dump
%WINDIR%\temp\content\3300-3056-powershell.exe-20-01-44-836.dump
%WINDIR%\temp\content\3300-3056-powershell.exe-20-01-44-902.dump
%WINDIR%\temp\content\3300-3056-powershell.exe-20-01-45-025.dump
%WINDIR%\temp\content\3300-3056-powershell.exe-20-01-45-058.dump
%WINDIR%\temp\__psscriptpolicytest_wq35hbmi.xk5.ps1
%WINDIR%\temp\__psscriptpolicytest_pnjxuk2u.nc5.psm1
%WINDIR%\temp\content\3300-3056-powershell.exe-20-01-45-195.dump
%WINDIR%\temp\content\3300-3056-powershell.exe-20-01-45-218.dump
%WINDIR%\temp\content\3300-3056-powershell.exe-20-01-45-268.dump
%WINDIR%\temp\content\3300-3056-powershell.exe-20-01-45-348.dump
%WINDIR%\temp\content\3300-3056-powershell.exe-20-01-45-447.dump
%WINDIR%\temp\content\3300-3056-powershell.exe-20-01-45-529.dump
%WINDIR%\temp\content\3300-3056-powershell.exe-20-01-45-618.dump
%WINDIR%\temp\content\3300-3056-powershell.exe-20-01-45-640.dump
%WINDIR%\temp\content\3300-3056-powershell.exe-20-01-45-682.dump
%WINDIR%\temp\content\3300-3056-powershell.exe-20-01-45-692.dump
%WINDIR%\temp\content\3300-3056-powershell.exe-20-01-45-732.dump
%WINDIR%\temp\content\3300-3056-powershell.exe-20-01-45-762.dump
%WINDIR%\temp\content\3300-3056-powershell.exe-20-01-45-788.dump
%WINDIR%\temp\content\3300-3056-powershell.exe-20-01-46-110.dump
%WINDIR%\temp\content\3300-3056-powershell.exe-20-01-46-158.dump
%WINDIR%\temp\content\3300-3056-powershell.exe-20-01-46-194.dump
%WINDIR%\temp\content\3300-3056-powershell.exe-20-01-46-210.dump
%WINDIR%\temp\content\3300-3056-powershell.exe-20-01-46-244.dump
%WINDIR%\temp\content\3300-3056-powershell.exe-20-01-46-295.dump
<SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\powershell\startupprofiledata-noninteractive
%WINDIR%\temp\zbkekvooqieg.sys

Удаляет файлы, которые сам же создал

%WINDIR%\temp\__psscriptpolicytest_e4bm44qr.bdz.ps1
%WINDIR%\temp\__psscriptpolicytest_eyvpykfr.gn0.psm1
%WINDIR%\temp\__psscriptpolicytest_wq35hbmi.xk5.ps1
%WINDIR%\temp\__psscriptpolicytest_pnjxuk2u.nc5.psm1

Сетевая активность

UDP

DNS ASK po##.#ashvault.pro
DNS ASK en#####ts.omniatech.io
DNS ASK po###on-rpc.com
DNS ASK po######bor.publicnode.com
DNS ASK po##3.com
DNS ASK po##4.com
DNS ASK ya#####a.alwaysdata.net

Другое

Создает и запускает на исполнение

'%ALLUSERSPROFILE%\locktime\netlimiter.exe'

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c wusa /uninstall /kb:890830 /quiet /norestart
'<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-ac 0
'<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-dc 0
'<SYSTEM32>\powercfg.exe' /x -standby-timeout-ac 0
'<SYSTEM32>\powercfg.exe' /x -standby-timeout-dc 0
'<SYSTEM32>\sc.exe' delete "Locktime"
'<SYSTEM32>\sc.exe' create "Locktime" binpath= "%ALLUSERSPROFILE%\Locktime\NetLimiter.exe" start= "auto"
'<SYSTEM32>\wusa.exe' /uninstall /kb:890830 /quiet /norestart
'<SYSTEM32>\sc.exe' stop eventlog
'<SYSTEM32>\sc.exe' start "Locktime"
'<SYSTEM32>\svchost.exe'