Trojan.Siggen32.11449

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\microsoftedgeupdatetaskmachineprimaryua

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует запуск следующих системных утилит:

Обновления системы (Windows Update)
Системный антивирус (Защитник Windows)

блокирует:

Среду восстановления Windows (Windows Recovery Environment)

удаляет теневые копии разделов.

добавляет исключения антивируса:

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:\Users\'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '%ALLUSERSPROFILE%\'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '<SYSTEM32>\config\systemprofile\'

Изменения в файловой системе

Создает следующие файлы

%ALLUSERSPROFILE%\microsoft\wbem.{208d2c60-3aea-1069-a2d7-08002b30309d}\wmiprvse.exe
nul
<SYSTEM32>\config\systemprofile\appdata\roaming\microsoft\microsoftweb.{7007acc7-3202-11d1-aad2-00805fc1270e}\audiodg.exe
<SYSTEM32>\config\systemprofile\appdata\roaming\microsoft\microsoftweb.{7007acc7-3202-11d1-aad2-00805fc1270e}\winring0x64.sys

Сетевая активность

TCP

Другие

'15#.#01.193.91':443

UDP

DNS ASK pa###bin.com

Другое

Создает и запускает на исполнение

'%ALLUSERSPROFILE%\microsoft\wbem.{208d2c60-3aea-1069-a2d7-08002b30309d}\wmiprvse.exe'

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /C net session
'<SYSTEM32>\net.exe' session
'<SYSTEM32>\net1.exe' session
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "(Get-MpPreference).ExclusionPath -contains 'C:\Users\'"
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "(Get-MpPreference).ExclusionPath -contains '%ALLUSERSPROFILE%\'"
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "(Get-MpPreference).ExclusionPath -contains '<SYSTEM32>\config\systemprofile\'"
'<SYSTEM32>\sc.exe' stop wuauserv
'<SYSTEM32>\sc.exe' stop UsoSvc
'<SYSTEM32>\sc.exe' stop bits
'<SYSTEM32>\sc.exe' stop dosvc
'<SYSTEM32>\sc.exe' stop WaaSMedicSvc
'<SYSTEM32>\sc.exe' config wuauserv start= disabled
'<SYSTEM32>\sc.exe' config UsoSvc start= disabled
'<SYSTEM32>\sc.exe' config bits start= disabled
'<SYSTEM32>\sc.exe' config dosvc start= disabled
'<SYSTEM32>\sc.exe' config WaaSMedicSvc start= disabled
'<SYSTEM32>\cmd.exe' /C rmdir /S /Q "C:\\inetpub"
'<SYSTEM32>\cmd.exe' /c wusa /uninstall /kb:890830 /quiet /norestart
'<SYSTEM32>\wusa.exe' /uninstall /kb:890830 /quiet /norestart
'<SYSTEM32>\reagentc.exe' /disable
'<SYSTEM32>\takeown.exe' /f "<SYSTEM32>\reagentc.exe"
'<SYSTEM32>\icacls.exe' "<SYSTEM32>\reagentc.exe" /grant administrators:F
'<SYSTEM32>\cmd.exe' /c powercfg /setactive 8c5e7fda-e8bf-4a96-9a85-a6e23a8c635c (со скрытым окном)
'<SYSTEM32>\powercfg.exe' /setactive 8c5e7fda-e8bf-4a96-9a85-a6e23a8c635c
'<SYSTEM32>\cmd.exe' /c powercfg /x -standby-timeout-ac 0 (со скрытым окном)
'<SYSTEM32>\powercfg.exe' /x -standby-timeout-ac 0
'<SYSTEM32>\cmd.exe' /c powercfg /x -standby-timeout-dc 0 (со скрытым окном)
'<SYSTEM32>\powercfg.exe' /x -standby-timeout-dc 0
'<SYSTEM32>\cmd.exe' /c powercfg /x -hibernate-timeout-ac 0 (со скрытым окном)
'<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-ac 0
'<SYSTEM32>\cmd.exe' /c powercfg /x -hibernate-timeout-dc 0 (со скрытым окном)
'<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-dc 0
'<SYSTEM32>\cmd.exe' /c powercfg /x -monitor-timeout-ac 0 (со скрытым окном)
'<SYSTEM32>\powercfg.exe' /x -monitor-timeout-ac 0
'<SYSTEM32>\cmd.exe' /c powercfg /x -monitor-timeout-dc 0 (со скрытым окном)
'<SYSTEM32>\powercfg.exe' /x -monitor-timeout-dc 0
'<SYSTEM32>\cmd.exe' /c vssadmin delete shadows /all /quiet (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /create /sc minute /mo 1 /tn "MicrosoftEdgeUpdateTaskMachinePrimaryUA" /tr "%ALLUSERSPROFILE%\Microsoft\wbem.{208D2C60-3AEA-1069-A2D7-08002B30309D}\WmiPrvSE.exe" /ru "system" /rl highest /f (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c timeout /t 5 /nobreak >nul & del "<Полный путь к файлу>" (со скрытым окном)
'<SYSTEM32>\timeout.exe' /t 5 /nobreak