Trojan.Siggen32.26903

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[HKLM\SYSTEM\CurrentControlSet\Services\XRW7OVUJ] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\XRW7OVUJ] 'ImagePath' = '%ALLUSERSPROFILE%\01nfqlqwfkqx\wuuv9i2toefn.exe'

Создает следующие сервисы

'XRW7OVUJ' %ALLUSERSPROFILE%\01nfqlqwfkqx\wuuv9i2toefn.exe

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует:

Журнал событий Windows (Windows Event Logging)

добавляет исключения антивируса:

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath @($env:UserProfile, $env:ProgramData) -ExclusionExtension '.exe' -Force

Внедряет код в

следующие системные процессы:

<SYSTEM32>\conhost.exe
<SYSTEM32>\dwm.exe

Изменения в файловой системе

Создает следующие файлы

%ALLUSERSPROFILE%\01nfqlqwfkqx\wuuv9i2toefn.exe
%WINDIR%\temp\__psscriptpolicytest_2brcw2rk.puy.ps1
%WINDIR%\temp\__psscriptpolicytest_mxtc3whe.2nh.psm1
%WINDIR%\temp\content\5376-5980-powershell.exe-22-53-56-095.dump
%WINDIR%\temp\content\5376-5980-powershell.exe-22-53-56-402.dump
%WINDIR%\temp\content\5376-5980-powershell.exe-22-53-56-547.dump
%WINDIR%\temp\content\5376-5980-powershell.exe-22-53-56-751.dump
%WINDIR%\temp\content\5376-5980-powershell.exe-22-53-56-802.dump
%WINDIR%\temp\__psscriptpolicytest_kx0sppym.x1p.ps1
%WINDIR%\temp\__psscriptpolicytest_4hob0k4c.qbm.psm1
%WINDIR%\temp\content\5376-5980-powershell.exe-22-53-57-070.dump
%WINDIR%\temp\content\5376-5980-powershell.exe-22-53-57-124.dump
%WINDIR%\temp\content\5376-5980-powershell.exe-22-53-57-209.dump
%WINDIR%\temp\content\5376-5980-powershell.exe-22-53-57-378.dump
%WINDIR%\temp\content\5376-5980-powershell.exe-22-53-57-573.dump
%WINDIR%\temp\content\5376-5980-powershell.exe-22-53-57-692.dump
%WINDIR%\temp\content\5376-5980-powershell.exe-22-53-57-875.dump
%WINDIR%\temp\content\5376-5980-powershell.exe-22-53-57-965.dump
%WINDIR%\temp\content\5376-5980-powershell.exe-22-53-58-021.dump
%WINDIR%\temp\content\5376-5980-powershell.exe-22-53-58-087.dump
%WINDIR%\temp\content\5376-5980-powershell.exe-22-53-58-141.dump
%WINDIR%\temp\content\5376-5980-powershell.exe-22-53-58-188.dump
%WINDIR%\temp\content\5376-5980-powershell.exe-22-53-58-242.dump
%WINDIR%\temp\content\5376-5980-powershell.exe-22-53-58-823.dump
%WINDIR%\temp\content\5376-5980-powershell.exe-22-53-58-892.dump
%WINDIR%\temp\content\5376-5980-powershell.exe-22-53-58-946.dump
%WINDIR%\temp\content\5376-5980-powershell.exe-22-53-58-961.dump
%WINDIR%\temp\content\5376-5980-powershell.exe-22-53-59-024.dump
%WINDIR%\temp\content\5376-5980-powershell.exe-22-53-59-062.dump
%WINDIR%\temp\content\5376-5980-powershell.exe-22-53-59-162.dump
<SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\powershell\startupprofiledata-noninteractive
%WINDIR%\temp\avuxqfznnptf.sys

Удаляет файлы, которые сам же создал

%WINDIR%\temp\__psscriptpolicytest_2brcw2rk.puy.ps1
%WINDIR%\temp\__psscriptpolicytest_mxtc3whe.2nh.psm1
%WINDIR%\temp\__psscriptpolicytest_kx0sppym.x1p.ps1
%WINDIR%\temp\__psscriptpolicytest_4hob0k4c.qbm.psm1

Сетевая активность

Подключается к

'pa###bin.com':443
'po##.#ashvault.pro':443

TCP

Запросы HTTP GET

http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?3c##############

Другие

'pa###bin.com':443
'po##.#ashvault.pro':443

UDP

DNS ASK pa###bin.com
DNS ASK po##.#ashvault.pro

Другое

Создает и запускает на исполнение

'%ALLUSERSPROFILE%\01nfqlqwfkqx\wuuv9i2toefn.exe'

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c wusa /uninstall /kb:890830 /quiet /norestart
'<SYSTEM32>\sc.exe' stop UsoSvc
'<SYSTEM32>\sc.exe' stop WaaSMedicSvc
'<SYSTEM32>\wusa.exe' /uninstall /kb:890830 /quiet /norestart
'<SYSTEM32>\sc.exe' stop wuauserv
'<SYSTEM32>\sc.exe' stop bits
'<SYSTEM32>\sc.exe' stop dosvc
'<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-ac 0
'<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-dc 0
'<SYSTEM32>\powercfg.exe' /x -standby-timeout-ac 0
'<SYSTEM32>\powercfg.exe' /x -standby-timeout-dc 0
'<SYSTEM32>\sc.exe' delete "XRW7OVUJ"
'<SYSTEM32>\sc.exe' create "XRW7OVUJ" binpath= "%ALLUSERSPROFILE%\01nfqlqwfkqx\wuuv9i2toefn.exe" start= "auto"
'<SYSTEM32>\sc.exe' stop eventlog
'<SYSTEM32>\sc.exe' start "XRW7OVUJ"
'<SYSTEM32>\dwm.exe' (со скрытым окном)