Trojan.Siggen32.19612

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[HKLM\SYSTEM\CurrentControlSet\Services\MLU5O7QA] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\MLU5O7QA] 'ImagePath' = '%ALLUSERSPROFILE%\elli3asvble8\27rawzio0at7.exe'

Создает следующие сервисы

'MLU5O7QA' %ALLUSERSPROFILE%\elli3asvble8\27rawzio0at7.exe

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует:

Журнал событий Windows (Windows Event Logging)

добавляет исключения антивируса:

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath @($env:UserProfile, $env:ProgramData) -ExclusionExtension '.exe' -Force

Внедряет код в

следующие системные процессы:

<SYSTEM32>\conhost.exe
<SYSTEM32>\dwm.exe

Изменения в файловой системе

Создает следующие файлы

%ALLUSERSPROFILE%\elli3asvble8\27rawzio0at7.exe
%WINDIR%\temp\__psscriptpolicytest_wfgobtti.y4e.ps1
%WINDIR%\temp\__psscriptpolicytest_c4ecfw15.1u4.psm1
%WINDIR%\temp\content\2848-4352-powershell.exe-22-42-18-982.dump
%WINDIR%\temp\content\2848-4352-powershell.exe-22-42-19-335.dump
%WINDIR%\temp\content\2848-4352-powershell.exe-22-42-19-421.dump
%WINDIR%\temp\content\2848-4352-powershell.exe-22-42-19-555.dump
%WINDIR%\temp\content\2848-4352-powershell.exe-22-42-19-586.dump
%WINDIR%\temp\__psscriptpolicytest_vj143zhi.hln.ps1
%WINDIR%\temp\__psscriptpolicytest_bvmjpzhb.nhh.psm1
%WINDIR%\temp\content\2848-4352-powershell.exe-22-42-19-709.dump
%WINDIR%\temp\content\2848-4352-powershell.exe-22-42-19-724.dump
%WINDIR%\temp\content\2848-4352-powershell.exe-22-42-19-771.dump
%WINDIR%\temp\content\2848-4352-powershell.exe-22-42-19-856.dump
%WINDIR%\temp\content\2848-4352-powershell.exe-22-42-19-961.dump
%WINDIR%\temp\content\2848-4352-powershell.exe-22-42-20-026.dump
%WINDIR%\temp\content\2848-4352-powershell.exe-22-42-20-146.dump
%WINDIR%\temp\content\2848-4352-powershell.exe-22-42-20-178.dump
%WINDIR%\temp\content\2848-4352-powershell.exe-22-42-20-198.dump
%WINDIR%\temp\content\2848-4352-powershell.exe-22-42-20-219.dump
%WINDIR%\temp\content\2848-4352-powershell.exe-22-42-20-239.dump
%WINDIR%\temp\content\2848-4352-powershell.exe-22-42-20-265.dump
%WINDIR%\temp\content\2848-4352-powershell.exe-22-42-20-281.dump
%WINDIR%\temp\content\2848-4352-powershell.exe-22-42-20-597.dump
%WINDIR%\temp\content\2848-4352-powershell.exe-22-42-20-651.dump
%WINDIR%\temp\content\2848-4352-powershell.exe-22-42-20-666.dump
%WINDIR%\temp\content\2848-4352-powershell.exe-22-42-20-682.dump
%WINDIR%\temp\content\2848-4352-powershell.exe-22-42-20-713.dump
%WINDIR%\temp\content\2848-4352-powershell.exe-22-42-20-729.dump
%WINDIR%\temp\content\2848-4352-powershell.exe-22-42-20-782.dump
<SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\powershell\startupprofiledata-noninteractive
%WINDIR%\temp\gspdoekocjzx.sys

Удаляет файлы, которые сам же создал

%WINDIR%\temp\__psscriptpolicytest_wfgobtti.y4e.ps1
%WINDIR%\temp\__psscriptpolicytest_c4ecfw15.1u4.psm1
%WINDIR%\temp\__psscriptpolicytest_vj143zhi.hln.ps1
%WINDIR%\temp\__psscriptpolicytest_bvmjpzhb.nhh.psm1

Сетевая активность

UDP

DNS ASK pa###bin.com
DNS ASK po##.#ashvault.pro

Другое

Создает и запускает на исполнение

'%ALLUSERSPROFILE%\elli3asvble8\27rawzio0at7.exe'

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c wusa /uninstall /kb:890830 /quiet /norestart
'<SYSTEM32>\sc.exe' stop UsoSvc
'<SYSTEM32>\sc.exe' stop WaaSMedicSvc
'<SYSTEM32>\wusa.exe' /uninstall /kb:890830 /quiet /norestart
'<SYSTEM32>\sc.exe' stop wuauserv
'<SYSTEM32>\sc.exe' stop bits
'<SYSTEM32>\sc.exe' stop dosvc
'<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-ac 0
'<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-dc 0
'<SYSTEM32>\powercfg.exe' /x -standby-timeout-ac 0
'<SYSTEM32>\powercfg.exe' /x -standby-timeout-dc 0
'<SYSTEM32>\sc.exe' delete "MLU5O7QA"
'<SYSTEM32>\sc.exe' create "MLU5O7QA" binpath= "%ALLUSERSPROFILE%\elli3asvble8\27rawzio0at7.exe" start= "auto"
'<SYSTEM32>\sc.exe' stop eventlog
'<SYSTEM32>\sc.exe' start "MLU5O7QA"
'<SYSTEM32>\dwm.exe' (со скрытым окном)