Trojan.Siggen32.26748

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[HKLM\SYSTEM\CurrentControlSet\Services\EYY5895L] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\EYY5895L] 'ImagePath' = '%ALLUSERSPROFILE%\2l93foggy4yz\v2znnbeuiz39.exe'

Создает следующие сервисы

'EYY5895L' %ALLUSERSPROFILE%\2l93foggy4yz\v2znnbeuiz39.exe

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует:

Журнал событий Windows (Windows Event Logging)

добавляет исключения антивируса:

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath @($env:UserProfile, $env:ProgramData) -ExclusionExtension '.exe' -Force

Внедряет код в

следующие системные процессы:

<SYSTEM32>\conhost.exe
<SYSTEM32>\dwm.exe

Изменения в файловой системе

Создает следующие файлы

%ALLUSERSPROFILE%\2l93foggy4yz\v2znnbeuiz39.exe
%WINDIR%\temp\__psscriptpolicytest_ysmelwyq.3hd.ps1
%WINDIR%\temp\__psscriptpolicytest_gept0dg4.zbk.psm1
%WINDIR%\temp\content\5652-3768-powershell.exe-13-10-57-895.dump
%WINDIR%\temp\content\5652-3768-powershell.exe-13-10-58-091.dump
%WINDIR%\temp\content\5652-3768-powershell.exe-13-10-58-176.dump
%WINDIR%\temp\content\5652-3768-powershell.exe-13-10-58-292.dump
%WINDIR%\temp\content\5652-3768-powershell.exe-13-10-58-323.dump
%WINDIR%\temp\__psscriptpolicytest_2yvhuk5o.ddx.ps1
%WINDIR%\temp\__psscriptpolicytest_xkzboy0p.qd1.psm1
%WINDIR%\temp\content\5652-3768-powershell.exe-13-10-58-461.dump
%WINDIR%\temp\content\5652-3768-powershell.exe-13-10-58-493.dump
%WINDIR%\temp\content\5652-3768-powershell.exe-13-10-58-524.dump
%WINDIR%\temp\content\5652-3768-powershell.exe-13-10-58-609.dump
%WINDIR%\temp\content\5652-3768-powershell.exe-13-10-58-709.dump
%WINDIR%\temp\content\5652-3768-powershell.exe-13-10-58-778.dump
%WINDIR%\temp\content\5652-3768-powershell.exe-13-10-58-876.dump
%WINDIR%\temp\content\5652-3768-powershell.exe-13-10-58-908.dump
%WINDIR%\temp\content\5652-3768-powershell.exe-13-10-58-937.dump
%WINDIR%\temp\content\5652-3768-powershell.exe-13-10-58-960.dump
%WINDIR%\temp\content\5652-3768-powershell.exe-13-10-58-981.dump
%WINDIR%\temp\content\5652-3768-powershell.exe-13-10-59-002.dump
%WINDIR%\temp\content\5652-3768-powershell.exe-13-10-59-023.dump
%WINDIR%\temp\content\5652-3768-powershell.exe-13-10-59-328.dump
%WINDIR%\temp\content\5652-3768-powershell.exe-13-10-59-374.dump
%WINDIR%\temp\content\5652-3768-powershell.exe-13-10-59-406.dump
%WINDIR%\temp\content\5652-3768-powershell.exe-13-10-59-412.dump
%WINDIR%\temp\content\5652-3768-powershell.exe-13-10-59-443.dump
%WINDIR%\temp\content\5652-3768-powershell.exe-13-10-59-459.dump
%WINDIR%\temp\content\5652-3768-powershell.exe-13-10-59-513.dump
<SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\powershell\startupprofiledata-noninteractive
%WINDIR%\temp\enkzlrvqfksp.sys

Удаляет файлы, которые сам же создал

%WINDIR%\temp\__psscriptpolicytest_ysmelwyq.3hd.ps1
%WINDIR%\temp\__psscriptpolicytest_gept0dg4.zbk.psm1
%WINDIR%\temp\__psscriptpolicytest_2yvhuk5o.ddx.ps1
%WINDIR%\temp\__psscriptpolicytest_xkzboy0p.qd1.psm1

Сетевая активность

Подключается к

'pa###bin.com':443
'19#.#32.214.172':80
'po##.#upportxmr.com':3333

TCP

Запросы HTTP GET

http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?ab##############

Другие

'pa###bin.com':443
'po##.#upportxmr.com':3333

UDP

DNS ASK pa###bin.com
DNS ASK po##.#upportxmr.com

Другое

Создает и запускает на исполнение

'%ALLUSERSPROFILE%\2l93foggy4yz\v2znnbeuiz39.exe'

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c wusa /uninstall /kb:890830 /quiet /norestart
'<SYSTEM32>\sc.exe' stop UsoSvc
'<SYSTEM32>\sc.exe' stop WaaSMedicSvc
'<SYSTEM32>\wusa.exe' /uninstall /kb:890830 /quiet /norestart
'<SYSTEM32>\sc.exe' stop wuauserv
'<SYSTEM32>\sc.exe' stop bits
'<SYSTEM32>\sc.exe' stop dosvc
'<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-ac 0
'<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-dc 0
'<SYSTEM32>\powercfg.exe' /x -standby-timeout-ac 0
'<SYSTEM32>\powercfg.exe' /x -standby-timeout-dc 0
'<SYSTEM32>\sc.exe' delete "EYY5895L"
'<SYSTEM32>\sc.exe' create "EYY5895L" binpath= "%ALLUSERSPROFILE%\2l93foggy4yz\v2znnbeuiz39.exe" start= "auto"
'<SYSTEM32>\sc.exe' stop eventlog
'<SYSTEM32>\sc.exe' start "EYY5895L"
'<SYSTEM32>\dwm.exe' (со скрытым окном)