Trojan.Siggen32.10421

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[HKLM\SYSTEM\CurrentControlSet\Services\atvi-geirdriful] 'ImagePath' = '<SYSTEM32>\WindowsPowerShell\v1.0\geirdriful.sys'

Создает следующие сервисы

Вредоносные функции

Запускает на исполнение

Завершает или пытается завершить

следующие системные процессы:

Изменения в файловой системе

Создает следующие файлы

<SYSTEM32>\windowspowershell\v1.0\bootstrap.data.bin
<SYSTEM32>\windowspowershell\v1.0\bootstrapper.exe
<SYSTEM32>\windowspowershell\v1.0\bootstrappercrashhandler.exe
<SYSTEM32>\windowspowershell\v1.0\geirdriful.sys
<SYSTEM32>\windowspowershell\v1.0\bootstrapper.log
%TEMP%\activision\bootstrapper\20251128-213420132\info.json
%TEMP%\activision\bootstrapper\20251128-213420132\datafile.json
%TEMP%\cod54c3.tmp
%TEMP%\activision\bootstrapper\20251128-213420132\procstats.csv
%TEMP%\activision\bootstrapper\20251128-213420132\cod56e7.tmp
%TEMP%\cod5b5c.tmp
%WINDIR%\inf\display.pnf
%LOCALAPPDATA%\d3dscache\c7781427bc861c82\f4eb2d6c-ed2b-4bdd-ad9d-f913287e6768.idx
%LOCALAPPDATA%\d3dscache\c7781427bc861c82\f4eb2d6c-ed2b-4bdd-ad9d-f913287e6768.lock
%LOCALAPPDATA%\d3dscache\c7781427bc861c82\f4eb2d6c-ed2b-4bdd-ad9d-f913287e6768.val
%TEMP%\activision\bootstrapper\20251128-213420132\dxdiag_oncrash.txt
%TEMP%\activision\bootstrapper\20251128-213420132\filesize.json
%LOCALAPPDATA%\activision\bootstrapper\crash_reports\bootstrapper_cl1_20251128-213420132.zip

Удаляет файлы, которые сам же создал

Перемещает следующие файлы

%TEMP%\cod54c3.tmp в %TEMP%\activision\bootstrapper\20251128-213420132\crashhandler.log
%TEMP%\cod5b5c.tmp в %TEMP%\activision\bootstrapper\20251128-213420132\info.json
%TEMP%\activision\bootstrapper\20251128-213420132\crashhandler.log в %TEMP%\activision\bootstrapper\20251128-213420132\crashhandler.log

Сетевая активность

UDP

Другое

Ищет следующие окна

Создает и запускает на исполнение

'<SYSTEM32>\windowspowershell\v1.0\bootstrapper.exe' Vanguard.exe
'<SYSTEM32>\windowspowershell\v1.0\bootstrappercrashhandler.exe' --project "bootstrapper" --engine_pid 2880 --engine_build "public_ship" --engine_exec_name "bootstrapper.exe" --engine_changelist 1 --exception_info_addr 140702430703072 --shared_mutex_name "na...

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /C taskkill /F /IM bootstrapper.exe (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C taskkill /F /IM bootstrapperCrashHandler.exe (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C sc stop atvi-geirdriful (со скрытым окном)
'<SYSTEM32>\sc.exe' stop atvi-geirdriful
'<SYSTEM32>\cmd.exe' /C sc delete atvi-geirdriful (со скрытым окном)
'<SYSTEM32>\sc.exe' delete atvi-geirdriful
'<SYSTEM32>\cmd.exe' /C sc create atvi-geirdriful type= kernel binPath= "<SYSTEM32>\WindowsPowerShell\v1.0\geirdriful.sys" (со скрытым окном)
'<SYSTEM32>\sc.exe' create atvi-geirdriful type= kernel binPath= "<SYSTEM32>\WindowsPowerShell\v1.0\geirdriful.sys"
'<SYSTEM32>\cmd.exe' /C sc sdset atvi-geirdriful D:(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWRPWPLOCRRC;;;IU)(A;;CCLCSWLOCRRC;;;SU)S:(AU;FA;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;WD) (со скрытым окном)
'<SYSTEM32>\sc.exe' sdset atvi-geirdriful D:(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWRPWPLOCRRC;;;IU)(A;;CCLCSWLOCRRC;;;SU)S:(AU;FA;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;WD)
'<SYSTEM32>\dxdiag.exe' /dontskip /whql:off /t "%TEMP%\\Activision\bootstrapper\20251128-213420132\dxdiag_onboot.txt"
'<SYSTEM32>\dxdiag.exe' /dontskip /whql:off /t "%TEMP%\\Activision\bootstrapper\20251128-213420132\dxdiag_oncrash.txt"