Trojan.Siggen32.26753

Техническая информация

Вредоносные функции

Для затруднения выявления своего присутствия в системе

изменяет следующие системные настройки:

[HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoRun' = '00000000'
[HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'DisallowRun' = '00000000'

Запускает на исполнение

'<SYSTEM32>\taskkill.exe' /im IDMIntegrator64.exe /t /f
'<SYSTEM32>\taskkill.exe' /im IDMan.exe /t /f

Изменения в файловой системе

Создает следующие файлы

%TEMP%\rarsfx0\down1.bat
%TEMP%\rarsfx0\patch.bat
%TEMP%\rarsfx0\kill.cmd
%TEMP%\rarsfx0\exclusion.cmd
%TEMP%\getadmin.vbs
nul
%TEMP%\rarsfx0\temp423118904285012976021166942.txt
%TEMP%\rarsfx0\patch.exe
%TEMP%\idmregclean.reg
%TEMP%\batclen.bat
%TEMP%\reg2101.tmp
%WINDIR%\temp\_backup_hkcu_clsid_20260224-033017752.reg

Удаляет файлы, которые сам же создал

%TEMP%\idmregclean.reg
%TEMP%\reg2101.tmp

Сетевая активность

UDP

DNS ASK do######.##ternetdownloadmanager.com

Другое

Ищет следующие окна

ClassName: 'Edit' WindowName: ''
ClassName: '' WindowName: ''

Создает и запускает на исполнение

'<SYSTEM32>\wscript.exe' "%TEMP%\getadmin.vbs"
'%TEMP%\rarsfx0\patch.exe' -silent -nonupdate

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c ""%TEMP%\RarSFX0\kill.cmd" " (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\RarSFX0\down1.bat" " (со скрытым окном)
'<SYSTEM32>\curl.exe' -o idman642build61.exe https://download.internetdownloadmanager.com/idman642build61.exe
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\RarSFX0\Patch.bat" " (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C "%TEMP%\RarSFX0\Patch.bat" payload %TEMP%\RarSFX0\
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\RarSFX0\exclusion.cmd" " (со скрытым окном)
'<SYSTEM32>\net.exe' session
'<SYSTEM32>\net1.exe' session
'<SYSTEM32>\mode.com' con:cols=90 lines=25
'<SYSTEM32>\cmd.exe' /c ver
'<SYSTEM32>\cmd.exe' /c sc query WinDefend | find "STATE"
'<SYSTEM32>\sc.exe' query WinDefend
'<SYSTEM32>\find.exe' "STATE"
'<SYSTEM32>\certutil.exe' -decode "temp423118904285012976021166942.txt" "Patch.exe"
'%WINDIR%\syswow64\reg.exe' import %TEMP%\IDMRegClean.reg
'%WINDIR%\syswow64\cmd.exe' /c call "%TEMP%\BATCLEN.bat"
'%WINDIR%\syswow64\cmd.exe' /c ver
'<SYSTEM32>\reg.exe' query "HKCU\Console" /v ForceV2
'<SYSTEM32>\find.exe' /i "0x0"
'%WINDIR%\syswow64\cmd.exe' /c echo prompt $E | cmd
'%WINDIR%\syswow64\cmd.exe' /S /D /c" echo prompt $E "
'<SYSTEM32>\cmd.exe'
'%WINDIR%\syswow64\cmd.exe' /S /D /c" echo "%TEMP%\BATCLEN.bat" "
'<SYSTEM32>\find.exe' /i "%LOCALAPPDATA%\Temp"
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' "$f=[io.file]::ReadAllText('%TEMP%\BATCLEN.bat') -split ':PowerShellTest:\s*';iex ($f[1])"
'<SYSTEM32>\find.exe' /i "FullLanguage"
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' "Get-WmiObject -Class Win32_ComputerSystem | Select-Object -Property CreationClassName"
'<SYSTEM32>\find.exe' /i "computersystem"
'%WINDIR%\syswow64\cmd.exe' /c powershell.exe "([System.Security.Principal.NTAccount](Get-WmiObject -Class Win32_ComputerSystem).UserName).Translate([System.Security.Principal.SecurityIdentifier]).Value" 2>nul
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' "([System.Security.Principal.NTAccount](Get-WmiObject -Class Win32_ComputerSystem).UserName).Translate([System.Security.Principal.SecurityIdentifier]).Value"
'<SYSTEM32>\reg.exe' query HKU\S-1-5-21-4226853953-3309226944-3078887307-1000\Software
'<SYSTEM32>\reg.exe' delete HKCU\IAS_TEST /f
'<SYSTEM32>\reg.exe' delete HKU\S-1-5-21-4226853953-3309226944-3078887307-1000\IAS_TEST /f
'<SYSTEM32>\reg.exe' add HKCU\IAS_TEST
'<SYSTEM32>\reg.exe' query HKU\S-1-5-21-4226853953-3309226944-3078887307-1000\IAS_TEST
'%WINDIR%\syswow64\cmd.exe' /c reg query "HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\Environment" /v PROCESSOR_ARCHITECTURE
'<SYSTEM32>\reg.exe' query "HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\Environment" /v PROCESSOR_ARCHITECTURE
'%WINDIR%\syswow64\cmd.exe' /c reg query "HKU\S-1-5-21-4226853953-3309226944-3078887307-1000\Software\DownloadManager" /v ExePath 2>nul
'<SYSTEM32>\reg.exe' query "HKU\S-1-5-21-4226853953-3309226944-3078887307-1000\Software\DownloadManager" /v ExePath
'<SYSTEM32>\reg.exe' add HKU\S-1-5-21-4226853953-3309226944-3078887307-1000\Software\Classes\Wow6432Node\CLSID\IAS_TEST
'<SYSTEM32>\reg.exe' query HKU\S-1-5-21-4226853953-3309226944-3078887307-1000\Software\Classes\Wow6432Node\CLSID\IAS_TEST
'<SYSTEM32>\reg.exe' delete HKU\S-1-5-21-4226853953-3309226944-3078887307-1000\Software\Classes\Wow6432Node\CLSID\IAS_TEST /f
'%WINDIR%\syswow64\cmd.exe' /c powershell.exe "(Get-Date).ToString('yyyyMMdd-HHmmssfff')"
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' "(Get-Date).ToString('yyyyMMdd-HHmmssfff')"
'<SYSTEM32>\reg.exe' export HKCU\Software\Classes\Wow6432Node\CLSID "%WINDIR%\Temp\_Backup_HKCU_CLSID_20260224-033017752.reg"
'<SYSTEM32>\reg.exe' query "HKCU\Software\DownloadManager" "/v" "Email"
'<SYSTEM32>\reg.exe' query "HKCU\Software\DownloadManager" "/v" "Serial"
'<SYSTEM32>\reg.exe' query "HKCU\Software\DownloadManager" "/v" "scansk"
'<SYSTEM32>\reg.exe' query "HKCU\Software\DownloadManager" "/v" "tvfrdt"
'<SYSTEM32>\reg.exe' query "HKCU\Software\DownloadManager" "/v" "radxcnt"
'<SYSTEM32>\reg.exe' query "HKCU\Software\DownloadManager" "/v" "LstCheck"
'<SYSTEM32>\reg.exe' query "HKCU\Software\DownloadManager" "/v" "ptrk_scdt"
'<SYSTEM32>\reg.exe' query "HKCU\Software\DownloadManager" "/v" "LastCheckQU"
'<SYSTEM32>\reg.exe' query "HKLM\SOFTWARE\Wow6432Node\Internet Download Manager"
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' "$sid = 'S-1-5-21-4226853953-3309226944-3078887307-1000'; $HKCUsync = 1; $lockKey = $null; $deleteKey = 1; $f=[io.file]::ReadAllText('%TEMP%\BATCLEN.bat') -split ':regscan\:.*';iex ($f[1])"
'<SYSTEM32>\chcp.com' 65001
'<SYSTEM32>\reg.exe' ADD "HKLM\Software\Internet Download Manager" /v "AdvIntDriverEnabled2" /t REG_DWORD /d "1" /f
'<SYSTEM32>\reg.exe' ADD "HKLM\Software\WOW6432Node\Internet Download Manager" /v "AdvIntDriverEnabled2" /t REG_DWORD /d "1" /f
'<SYSTEM32>\reg.exe' ADD "HKCU\Software\DownloadManager" /v "nLst" /t REG_DWORD /d "1" /f
'<SYSTEM32>\reg.exe' ADD "HKCU\Software\DownloadManager" /v "LName" /t REG_SZ /d " " /f
'<SYSTEM32>\reg.exe' ADD "HKCU\Software\DownloadManager" /v "FName" /t REG_SZ /d "user" /f