Trojan.Siggen32.21723

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\<Имя файла>

Устанавливает следующие настройки сервисов

[HKLM\SYSTEM\CurrentControlSet\Services\WinRing0_1_2_0] 'ImagePath' = '%TEMP%\mscorsvw_564EC5A9\WinRing0x64.sys'

Создает следующие сервисы

'WinRing0_1_2_0' %TEMP%\mscorsvw_564EC5A9\WinRing0x64.sys

Изменения в файловой системе

Создает следующие файлы

%TEMP%\content\6048-3440-<Имя файла>.exe-18-56-48-488.dump
%APPDATA%\microsoft\windows\templates\servicehub\<Имя файла>.exe
%TEMP%\8d818f2fa7fa41a2b703568bfcadb367.xml
%TEMP%\fd4d8e4be6264fd58cb87001bc63e9ba.xml
%TEMP%\mscorsvw_564ec5a9\svchost_cpu.exe
%TEMP%\fecac56a08c542f2b970716e52901ebc.xml
%TEMP%\b51d74ee90c84b58b65ec7247b4febc3.xml
%TEMP%\390619c0834d48158a373807220f20a6.xml
%TEMP%\8788365547734a84a7297a70fc3f7b64.xml
%TEMP%\a8865e50b588456db9ad2666c0e418cb.xml
%TEMP%\9e21890c2fe74d8ca9bb55da9f117cce.xml
%TEMP%\mscorsvw_564ec5a9\miner_output_5584.log
%TEMP%\81125d832eb24891844863d78ece15bf.xml
%TEMP%\309ac42f7c074eeaae0a46735b4101e6.xml

Присваивает атрибут 'скрытый' для следующих файлов

%APPDATA%\microsoft\windows\templates\servicehub\<Имя файла>.exe
%TEMP%\mscorsvw_564ec5a9\svchost_cpu.exe

Удаляет файлы, которые сам же создал

%TEMP%\fd4d8e4be6264fd58cb87001bc63e9ba.xml
%TEMP%\8d818f2fa7fa41a2b703568bfcadb367.xml
%TEMP%\fecac56a08c542f2b970716e52901ebc.xml
%TEMP%\b51d74ee90c84b58b65ec7247b4febc3.xml
%TEMP%\390619c0834d48158a373807220f20a6.xml
%TEMP%\8788365547734a84a7297a70fc3f7b64.xml
%TEMP%\a8865e50b588456db9ad2666c0e418cb.xml
%TEMP%\9e21890c2fe74d8ca9bb55da9f117cce.xml
%TEMP%\81125d832eb24891844863d78ece15bf.xml
%TEMP%\309ac42f7c074eeaae0a46735b4101e6.xml

Сетевая активность

Подключается к

'64.##.161.236':9000
'ip##pi.com':80
'po##.#ashvault.pro':443
'localhost':5555
'localhost':5556

TCP

Запросы HTTP GET

http://ip##pi.com/line/?fi######################

Другие

'64.##.161.236':9000
'po##.#ashvault.pro':443
'localhost':49696
'localhost':49699
'localhost':49702
'localhost':49705
'localhost':49708
'localhost':49711
'localhost':49714
'localhost':49717
'localhost':49720

UDP

DNS ASK ip##pi.com
DNS ASK po##.#ashvault.pro

Другое

Создает и запускает на исполнение

'%TEMP%\mscorsvw_564ec5a9\svchost_cpu.exe' -o stratum+tcp://pool.hashvault.pro:443 -u 46xSZutyefDiNg35VU1fyt9rCp17bRgsnTuvBLPXnrb5XZXAW6BX9SZSz4hPBQJuyc1wTJr7AQg85Dh4G4qQ5DBfLTcLTXJ -p x --coin monero --cpu-max-threads-hint 70 --no-colo...

Запускает на исполнение

'<SYSTEM32>\schtasks.exe' /Create /TN "<Имя файла>" /XML "%TEMP%\fd4d8e4be6264fd58cb87001bc63e9ba.xml" /F
'<SYSTEM32>\schtasks.exe' /Create /TN "<Имя файла>" /XML "%TEMP%\8d818f2fa7fa41a2b703568bfcadb367.xml" /F
'<SYSTEM32>\schtasks.exe' /Create /TN "<Имя файла>" /XML "%TEMP%\fecac56a08c542f2b970716e52901ebc.xml" /F
'<SYSTEM32>\schtasks.exe' /Create /TN "<Имя файла>" /XML "%TEMP%\b51d74ee90c84b58b65ec7247b4febc3.xml" /F
'<SYSTEM32>\schtasks.exe' /Create /TN "<Имя файла>" /XML "%TEMP%\390619c0834d48158a373807220f20a6.xml" /F
'<SYSTEM32>\schtasks.exe' /Create /TN "<Имя файла>" /XML "%TEMP%\8788365547734a84a7297a70fc3f7b64.xml" /F
'<SYSTEM32>\schtasks.exe' /Create /TN "<Имя файла>" /XML "%TEMP%\a8865e50b588456db9ad2666c0e418cb.xml" /F
'<SYSTEM32>\schtasks.exe' /Create /TN "<Имя файла>" /XML "%TEMP%\9e21890c2fe74d8ca9bb55da9f117cce.xml" /F
'<SYSTEM32>\schtasks.exe' /Create /TN "<Имя файла>" /XML "%TEMP%\81125d832eb24891844863d78ece15bf.xml" /F
'<SYSTEM32>\schtasks.exe' /Create /TN "<Имя файла>" /XML "%TEMP%\309ac42f7c074eeaae0a46735b4101e6.xml" /F
'<SYSTEM32>\schtasks.exe' /Create /TN "<Имя файла>" /XML "%TEMP%\2253e06353084d108021008b3c235d90.xml" /F
'<SYSTEM32>\schtasks.exe' /Create /TN "<Имя файла>" /XML "%TEMP%\c10b8057bd3e4535a51eee4601cd0cae.xml" /F
'<SYSTEM32>\schtasks.exe' /Create /TN "<Имя файла>" /XML "%TEMP%\32d075c0ab62479fa6081bbbd156c4ff.xml" /F
'<SYSTEM32>\schtasks.exe' /Create /TN "<Имя файла>" /XML "%TEMP%\eabfd27072e5418886304ada2c361bf4.xml" /F
'<SYSTEM32>\schtasks.exe' /Create /TN "<Имя файла>" /XML "%TEMP%\9af4169f6dcd4fe59827f6e64adb5101.xml" /F
'<SYSTEM32>\schtasks.exe' /Create /TN "<Имя файла>" /XML "%TEMP%\270d95b5a14f466f91b5a1df312cdd5c.xml" /F