Trojan.Siggen32.20678

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'csrss' = '"%WINDIR%\rss\csrss.exe"'

Создает или изменяет следующие файлы

Устанавливает следующие настройки сервисов

[HKLM\SYSTEM\CurrentControlSet\Services\VBoxWddm] 'ImagePath' = 'VBoxWddm'
[HKLM\SYSTEM\CurrentControlSet\Services\VBoxSF] 'ImagePath' = 'VBoxSF'
[HKLM\SYSTEM\CurrentControlSet\Services\VBoxMouse] 'ImagePath' = 'VBoxMouse'
[HKLM\SYSTEM\CurrentControlSet\Services\VBoxGuest] 'ImagePath' = 'VBoxGuest'
[HKLM\SYSTEM\CurrentControlSet\Services\VBoxService] 'ImagePath' = 'VBoxService'
[HKLM\SYSTEM\CurrentControlSet\Services\VBoxVideo] 'ImagePath' = 'VBoxVideo'

Создает следующие сервисы

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует запуск следующих системных утилит:

добавляет исключения антивируса с помощью следующих ключей реестра:

[HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths] '%WINDIR%\rss' = '00000000'
[HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths] '%TEMP%\csrss' = '00000000'
[HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths] '%WINDIR%\windefender.exe' = '00000000'
[HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths] '<DRIVERS>' = '00000000'
[HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Processes] 'csrss.exe' = '00000000'
[HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Processes] 'windefender.exe' = '00000000'
[HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Processes] '<Имя файла>.exe' = '00000000'

Запускает на исполнение

'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="csrss" dir=in action=allow program="%WINDIR%\rss\csrss.exe" enable=yes

Изменения в файловой системе

Создает следующие файлы

%WINDIR%\temp\__psscriptpolicytest_33bxnesw.p5l.ps1
%WINDIR%\temp\__psscriptpolicytest_uglopexj.jsn.psm1
%WINDIR%\temp\__psscriptpolicytest_5iwh22l2.ldn.ps1
%WINDIR%\temp\__psscriptpolicytest_l5xlt0pp.dwb.psm1
%WINDIR%\syswow64\config\systemprofile\appdata\local\microsoft\windows\powershell\startupprofiledata-interactive
%WINDIR%\temp\__psscriptpolicytest_i0bevmwx.zjw.ps1
%WINDIR%\temp\__psscriptpolicytest_xnkhdw4b.l5x.psm1
%WINDIR%\temp\__psscriptpolicytest_2ai0oghn.xhj.ps1
%WINDIR%\temp\__psscriptpolicytest_03gqggi2.zlc.psm1
%WINDIR%\temp\__psscriptpolicytest_bpivsb3b.bnh.ps1
%WINDIR%\temp\__psscriptpolicytest_4ihohp11.d1g.psm1
%WINDIR%\temp\__psscriptpolicytest_3norjhb0.05j.ps1
%WINDIR%\temp\__psscriptpolicytest_voslcmin.otu.psm1
%WINDIR%\rss\csrss.exe
nul
%WINDIR%\temp\__psscriptpolicytest_5o0esifu.ebj.ps1
%WINDIR%\temp\__psscriptpolicytest_ftbe2ktq.nvq.psm1
%WINDIR%\temp\__psscriptpolicytest_ywmuyarp.c24.ps1
%WINDIR%\temp\__psscriptpolicytest_4mjsngzd.wrb.psm1
%WINDIR%\temp\__psscriptpolicytest_pe1yvcuf.1ct.ps1
%WINDIR%\temp\__psscriptpolicytest_4sxqazcr.vm3.psm1
%WINDIR%\temp\__psscriptpolicytest_lcblxewk.pt2.ps1
%WINDIR%\temp\__psscriptpolicytest_kktvejew.ncz.psm1
%WINDIR%\temp\__psscriptpolicytest_iq3wdar5.hoh.ps1
%WINDIR%\temp\__psscriptpolicytest_djvynkud.nhw.psm1
%WINDIR%\temp\__psscriptpolicytest_05gw2by2.odo.ps1
%WINDIR%\temp\__psscriptpolicytest_mlp3ojxc.qbb.psm1
%TEMP%\csrss\injector\injector.exe
%TEMP%\csrss\injector\ntquerysysteminformationhook.dll

Удаляет файлы, которые сам же создал

Сетевая активность

UDP

Другое

Создает и запускает на исполнение

'%WINDIR%\rss\csrss.exe'
'%TEMP%\csrss\injector\injector.exe' taskmgr.exe %TEMP%\csrss\injector\NtQuerySystemInformationHook.dll

Перезапускает анализируемый образец

Запускает на исполнение

'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -nologo -noprofile (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C "netsh advfirewall firewall add rule name="csrss" dir=in action=allow program="%WINDIR%\rss\csrss.exe" enable=yes" (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /CREATE /SC ONLOGON /RL HIGHEST /TR "%WINDIR%\rss\csrss.exe" /TN csrss /F (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /delete /tn ScheduledUpdate /f (со скрытым окном)
'%WINDIR%\rss\csrss.exe' (со скрытым окном)
'%TEMP%\csrss\injector\injector.exe' taskmgr.exe %TEMP%\csrss\injector\NtQuerySystemInformationHook.dll (со скрытым окном)