Trojan.Siggen32.26759

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[HKLM\SYSTEM\CurrentControlSet\Services\chrome.exe] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\chrome.exe] 'ImagePath' = '%ALLUSERSPROFILE%\chrome.exe'

Создает следующие сервисы

'chrome.exe' %ALLUSERSPROFILE%\chrome.exe

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует:

Журнал событий Windows (Windows Event Logging)

добавляет исключения антивируса:

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath @($env:UserProfile, $env:ProgramData) -ExclusionExtension '.exe' -Force

Внедряет код в

следующие системные процессы:

<SYSTEM32>\conhost.exe
<SYSTEM32>\dwm.exe

Изменения в файловой системе

Создает следующие файлы

<Текущая директория>\file.bin
<Текущая директория>\7z.dll
<Текущая директория>\7z.exe
<Текущая директория>\main.exe
%TEMP%\8ee2.tmp\8ee3.tmp\8ee4.bat
nul
%TEMP%\tmp_3466\file.zip
%TEMP%\tmp_3466\file_7.zip
%TEMP%\tmp_3466\antiav.data
%TEMP%\tmp_3466\file_6.zip
%TEMP%\tmp_3466\file_5.zip
%TEMP%\tmp_3466\file_4.zip
%TEMP%\tmp_3466\file_3.zip
%TEMP%\tmp_3466\file_2.zip
%TEMP%\tmp_3466\file_1.zip
%TEMP%\tmp_3466\chrome.exe
%ALLUSERSPROFILE%\chrome.exe
%WINDIR%\temp\__psscriptpolicytest_n3u0b3sw.2cy.ps1
%WINDIR%\temp\__psscriptpolicytest_eengabdk.yhb.psm1
%WINDIR%\temp\content\4680-824-powershell.exe-03-30-53-434.dump
%WINDIR%\temp\content\4680-824-powershell.exe-03-30-53-630.dump
%WINDIR%\temp\content\4680-824-powershell.exe-03-30-53-717.dump
%WINDIR%\temp\content\4680-824-powershell.exe-03-30-53-854.dump
%WINDIR%\temp\content\4680-824-powershell.exe-03-30-53-886.dump
%WINDIR%\temp\__psscriptpolicytest_m1b02rz1.n0o.ps1
%WINDIR%\temp\__psscriptpolicytest_cekajpl3.vl0.psm1
%WINDIR%\temp\content\4680-824-powershell.exe-03-30-54-027.dump
%WINDIR%\temp\content\4680-824-powershell.exe-03-30-54-050.dump
%WINDIR%\temp\content\4680-824-powershell.exe-03-30-54-092.dump
%WINDIR%\temp\content\4680-824-powershell.exe-03-30-54-186.dump
%WINDIR%\temp\content\4680-824-powershell.exe-03-30-54-292.dump
%WINDIR%\temp\content\4680-824-powershell.exe-03-30-54-372.dump
%WINDIR%\temp\content\4680-824-powershell.exe-03-30-54-482.dump
%WINDIR%\temp\content\4680-824-powershell.exe-03-30-54-513.dump
%WINDIR%\temp\content\4680-824-powershell.exe-03-30-54-538.dump
%WINDIR%\temp\content\4680-824-powershell.exe-03-30-54-567.dump
%WINDIR%\temp\content\4680-824-powershell.exe-03-30-54-592.dump
%WINDIR%\temp\content\4680-824-powershell.exe-03-30-54-616.dump
%WINDIR%\temp\content\4680-824-powershell.exe-03-30-54-639.dump
%WINDIR%\temp\content\4680-824-powershell.exe-03-30-55-001.dump
%WINDIR%\temp\content\4680-824-powershell.exe-03-30-55-055.dump
%WINDIR%\temp\content\4680-824-powershell.exe-03-30-55-084.dump
%WINDIR%\temp\content\4680-824-powershell.exe-03-30-55-106.dump
%WINDIR%\temp\content\4680-824-powershell.exe-03-30-55-110.dump
%WINDIR%\temp\content\4680-824-powershell.exe-03-30-55-214.dump
%WINDIR%\temp\content\4680-824-powershell.exe-03-30-55-242.dump
%WINDIR%\temp\content\4680-824-powershell.exe-03-30-55-300.dump
<SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\powershell\startupprofiledata-noninteractive
%WINDIR%\temp\ixuhijwroasl.sys

Удаляет файлы, которые сам же создал

%WINDIR%\temp\__psscriptpolicytest_n3u0b3sw.2cy.ps1
%WINDIR%\temp\__psscriptpolicytest_eengabdk.yhb.psm1
%WINDIR%\temp\__psscriptpolicytest_m1b02rz1.n0o.ps1
%WINDIR%\temp\__psscriptpolicytest_cekajpl3.vl0.psm1

Перемещает следующие файлы

%TEMP%\tmp_3466\chrome.exe в <Текущая директория>\chrome.exe

Сетевая активность

UDP

DNS ASK xm#####.nanopool.org
DNS ASK 6t###.duckdns.org

Другое

Ищет следующие окна

ClassName: 'Edit' WindowName: ''

Создает и запускает на исполнение

'<Текущая директория>\main.exe'
'<Текущая директория>\7z.exe' e "%TEMP%\tmp_3466\file.zip" -p"___________8144pwd25617pwd24262___________" -o"%TEMP%\tmp_3466" -y
'<Текущая директория>\7z.exe' e "%TEMP%\tmp_3466\file_7.zip" -o"%TEMP%\tmp_3466" -y
'<Текущая директория>\7z.exe' e "%TEMP%\tmp_3466\file_6.zip" -o"%TEMP%\tmp_3466" -y
'<Текущая директория>\7z.exe' e "%TEMP%\tmp_3466\file_5.zip" -o"%TEMP%\tmp_3466" -y
'<Текущая директория>\7z.exe' e "%TEMP%\tmp_3466\file_4.zip" -o"%TEMP%\tmp_3466" -y
'<Текущая директория>\7z.exe' e "%TEMP%\tmp_3466\file_3.zip" -o"%TEMP%\tmp_3466" -y
'<Текущая директория>\7z.exe' e "%TEMP%\tmp_3466\file_2.zip" -o"%TEMP%\tmp_3466" -y
'<Текущая директория>\7z.exe' e "%TEMP%\tmp_3466\file_1.zip" -o"%TEMP%\tmp_3466" -y
'<Текущая директория>\chrome.exe'
'%ALLUSERSPROFILE%\chrome.exe'

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c "%TEMP%\8EE2.tmp\8EE3.tmp\8EE4.bat <Текущая директория>\main.exe" (со скрытым окном)
'<SYSTEM32>\where.exe' 7z.exe
'<SYSTEM32>\cmd.exe' /c wusa /uninstall /kb:890830 /quiet /norestart
'<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-ac 0
'<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-dc 0
'<SYSTEM32>\powercfg.exe' /x -standby-timeout-ac 0
'<SYSTEM32>\powercfg.exe' /x -standby-timeout-dc 0
'<SYSTEM32>\sc.exe' delete "chrome.exe"
'<SYSTEM32>\wusa.exe' /uninstall /kb:890830 /quiet /norestart
'<SYSTEM32>\sc.exe' create "chrome.exe" binpath= "%ALLUSERSPROFILE%\chrome.exe" start= "auto"
'<SYSTEM32>\sc.exe' stop eventlog
'<SYSTEM32>\sc.exe' start "chrome.exe"
'<SYSTEM32>\cmd.exe' /c choice /C Y /N /D Y /T 3 & Del "<Текущая директория>\chrome.exe"
'<SYSTEM32>\choice.exe' /C Y /N /D Y /T 3
'<SYSTEM32>\dwm.exe'