Trojan.Siggen32.19193

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[HKLM\SYSTEM\CurrentControlSet\Services\NinjaRMMAgent] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\NinjaRMMAgent] 'ImagePath' = '"%ProgramFiles(x86)%\NinjaOne\NinjaRMMAgentPatcher.exe"'

Создает следующие сервисы

'NinjaRMMAgent' C:\Program Files (x86)�injaOne�injaRMMAgentPatcher.exe
'NinjaRMMAgent' %ProgramFiles(x86)%\NinjaOne\NinjaRMMAgentPatcher.exe

Вредоносные функции

Запускает на исполнение

'%WINDIR%\syswow64\taskkill.exe' /im NinjaRMMAgent.exe /f /t

Изменения в файловой системе

Создает следующие файлы

%TEMP%\nsd1039.tmp\system.dll
%TEMP%\nsd1039.tmp\agent.msi
%ALLUSERSPROFILE%\ninjaone\logs\agent-install.log
%WINDIR%\temp\~df5476065d43434704.tmp
%WINDIR%\installer\sourcehash{817af559-0c8c-4539-94d8-3096af4b08d9}
%WINDIR%\temp\~dff054d951ae7319f5.tmp
%WINDIR%\temp\~df3127f74aaf01cf11.tmp
%WINDIR%\temp\~df712b74599ba45852.tmp
%ProgramFiles(x86)%\ninjaone\cabarc.exe
%ProgramFiles(x86)%\ninjaone\curl-ca-bundle.crt
%ProgramFiles(x86)%\ninjaone\ninjarmmagent.exe
%ProgramFiles(x86)%\ninjaone\ninjarmmagentpatcher.exe
%ProgramFiles(x86)%\ninjaone\wevtutil.exe
%ProgramFiles(x86)%\ninjaone\uninstall ninjarmmagent.lnk
%ALLUSERSPROFILE%\ninjarmmagent\logs\ninjarmmpatcher_20260116t14.38.21.0.log
%ProgramFiles(x86)%\ninjaone\qt_temp.sgbbcz
%ALLUSERSPROFILE%\ninjarmmagent\download\qt_temp.sgzmev
%ALLUSERSPROFILE%\ninjarmmagent\download\qt_temp.efhvok
%ProgramFiles(x86)%\ninjaone\qt_temp.pmrnhm
%ALLUSERSPROFILE%\ninjarmmagent\jsonoutput\_ws_agent_signal1768574301952-secure_agent_settings_read_failure.json
%WINDIR%\temp\9353-29ac-4e0f-fae1
%WINDIR%\temp\~dfd03172f6a1645a1d.tmp
%WINDIR%\temp\~dfdc720ac9930fa0c9.tmp
%WINDIR%\temp\~df17a91b3e65b52dc4.tmp
%WINDIR%\temp\~dfb80016bf33de9935.tmp
%WINDIR%\temp\~df31d0d10a54b66280.tmp
%WINDIR%\temp\~dfb98834d91173a544.tmp
%WINDIR%\temp\~dfac7932bc19898e94.tmp
%WINDIR%\temp\~dfd2268cc75d602a2f.tmp
%ProgramFiles(x86)%\ninjaone\cabarc\cabarc.exe
%WINDIR%\temp\9b80-d66f-b0f0-b2b7
%WINDIR%\temp\a48b-dea0-7b58-3722
%ALLUSERSPROFILE%\ninjarmmagent\download\upgrade_from_patcher10.0.4718\ninjarmmagentpatcher.exe
%ALLUSERSPROFILE%\ninjarmmagent\jsonoutput\_ws_agent_signal1768574352111-patcher_communications_error.json
%ALLUSERSPROFILE%\ninjarmmagent\download\upgrade_from_agent10.0.4718\ninjarmmagent.exe
%ALLUSERSPROFILE%\ninjarmmagent\logs\ninjarmmpatcherrestarter_20260116t14.39.15.0.log
%ALLUSERSPROFILE%\ninjarmmagent\logs\ninjarmmpatcher_20260116t14.39.20.1.log
%ALLUSERSPROFILE%\ninjarmmagent\download\qt_temp.mxamre
%ALLUSERSPROFILE%\ninjarmmagent\download\qt_temp.bcjfnn
%ALLUSERSPROFILE%\ninjarmmagent\jsonoutput\_ws_agent_signal1768574361396-secure_agent_settings_read_failure.json
%ALLUSERSPROFILE%\ninjarmmagent\logs\ninjarmmagent_20260116t14.39.31.0.log
%WINDIR%\syswow64\_ws_agent_signal1768574372551-secure_agent_settings_read_failure.json
%ALLUSERSPROFILE%\ninjarmmagent\storage\resources.s3db-journal
%ALLUSERSPROFILE%\ninjarmmagent\storage\resources.s3db

Удаляет файлы, которые сам же создал

%TEMP%\nsd1039.tmp\agent.msi
%TEMP%\nsd1039.tmp\system.dll
%ProgramFiles(x86)%\ninjaone\cabarc.exe.old
%ALLUSERSPROFILE%\ninjarmmagent\download\curl-ca-bundle.crt
%ALLUSERSPROFILE%\ninjarmmagent\download\ninjarmm-curl-ca-bundle.crt
%ALLUSERSPROFILE%\ninjarmmagent\storage\resources.s3db-journal

Перемещает следующие файлы

%ProgramFiles(x86)%\ninjaone\qt_temp.sgbbcz в %ProgramFiles(x86)%\ninjaone\i18n_agent.json
%ALLUSERSPROFILE%\ninjarmmagent\download\qt_temp.sgzmev в %ALLUSERSPROFILE%\ninjarmmagent\download\curl-ca-bundle.crt
%ALLUSERSPROFILE%\ninjarmmagent\download\qt_temp.efhvok в %ALLUSERSPROFILE%\ninjarmmagent\download\ninjarmm-curl-ca-bundle.crt
%ProgramFiles(x86)%\ninjaone\qt_temp.pmrnhm в %ProgramFiles(x86)%\ninjaone\ninjarmm-curl-ca-bundle.crt
%WINDIR%\temp\9353-29ac-4e0f-fae1 в %ProgramFiles(x86)%\ninjaone\cabarc\cabarc_20230209.zip
%ProgramFiles(x86)%\ninjaone\cabarc.exe в %ProgramFiles(x86)%\ninjaone\cabarc.exe.old
%WINDIR%\temp\9b80-d66f-b0f0-b2b7 в %ALLUSERSPROFILE%\ninjarmmagent\download\patcher.cab
%WINDIR%\temp\a48b-dea0-7b58-3722 в %ALLUSERSPROFILE%\ninjarmmagent\download\agent.cab
%ProgramFiles(x86)%\ninjaone\ninjarmmagentpatcher.exe в %ProgramFiles(x86)%\ninjaone\ninjarmmagentpatcher.exe.version.patcher10.0.4718.old
%ProgramFiles(x86)%\ninjaone\ninjarmmagent.exe в %ProgramFiles(x86)%\ninjaone\ninjarmmagent.exe.version.agent10.0.4718.old

Подменяет следующие файлы

%ProgramFiles(x86)%\ninjaone\cabarc.exe
%ProgramFiles(x86)%\ninjaone\ninjarmmagentpatcher.exe
%ProgramFiles(x86)%\ninjaone\ninjarmmagent.exe
%ALLUSERSPROFILE%\ninjarmmagent\download\curl-ca-bundle.crt
%ALLUSERSPROFILE%\ninjarmmagent\download\ninjarmm-curl-ca-bundle.crt
%ALLUSERSPROFILE%\ninjarmmagent\storage\resources.s3db-journal

Сетевая активность

Подключается к

'localhost':49692
're#####es.ninjarmm.com':443
'localhost':49695
'ag#####c.ninjarmm.com':443
'localhost':49698
'localhost':49701
'localhost':49707
'localhost':49710

TCP

Другие

'localhost':49692
'localhost':49693
're#####es.ninjarmm.com':443
'localhost':49695
'localhost':49696
'ag#####c.ninjarmm.com':443
'localhost':49698
'localhost':49699
'localhost':49701
'localhost':49702
'localhost':49707
'localhost':49708
'localhost':49710
'localhost':49711

UDP

DNS ASK re#####es.ninjarmm.com
DNS ASK ag#####c.ninjarmm.com

Другое

Ищет следующие окна

ClassName: '' WindowName: ''

Создает и запускает на исполнение

'%ProgramFiles(x86)%\ninjaone\ninjarmmagentpatcher.exe'
'%ProgramFiles(x86)%\ninjaone\ninjarmmagentpatcher.exe' --Restart
'%ProgramFiles(x86)%\ninjaone\ninjarmmagent.exe'
'%ProgramFiles(x86)%\ninjaone\ninjarmmagent.exe' /MDM_UNIQUE_ID

Запускает на исполнение

'%WINDIR%\syswow64\msiexec.exe' /i "%TEMP%\nsd1039.tmp\agent.msi" /qn /norestart /L*v "%ALLUSERSPROFILE%\NinjaOne\Logs\agent-install.log"
'%WINDIR%\syswow64\cmd.exe' /c "taskkill /im NinjaRMMAgent.exe /f /t"
'%WINDIR%\syswow64\cmd.exe' /c sc.exe failure NinjaRMMAgent reset=86400 actions=restart/60000/restart/60000//
'%WINDIR%\syswow64\sc.exe' failure NinjaRMMAgent reset=86400 actions=restart/60000/restart/60000//