Trojan.Siggen32.27024

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'SecurityHealth' = '<Полный путь к файлу>'

Вредоносные функции

Запускает на исполнение

'<SYSTEM32>\taskkill.exe' /F /IM firefox.exe /T

Внедряет код в

следующие пользовательские процессы:

msedge.exe

Завершает или пытается завершить

следующие пользовательские процессы:

firefox.exe

Изменения в файловой системе

Создает следующие файлы

nul
%TEMP%\sentinel_chromelevator\chromelevator.exe
%TEMP%\yandex_1772227575942103900.sqlite
%TEMP%\yandex_1772227577763556900.sqlite
%TEMP%\yandex_1772227577768834000.sqlite
<Текущая директория>\output\classic\epicgames\report.json
<Текущая директория>\output\classic\rockstargames\report.json
<Текущая директория>\output\classic\roblox\report.json
<Текущая директория>\output\classic\steam\report.json
<Текущая директория>\output\classic\store\report.json
<Текущая директория>\output\classic\discord\report.json
<Текущая директория>\output\classic\cards\report.json
<Текущая директория>\output\data_archive.zip

Удаляет файлы, которые сам же создал

%TEMP%\yandex_1772227575942103900.sqlite
%TEMP%\yandex_1772227577763556900.sqlite
%TEMP%\yandex_1772227577768834000.sqlite

Сетевая активность

Подключается к

'10#.#07.168.232':8080
'ip##pi.com':80

TCP

Запросы HTTP GET

http://ip##pi.com/json/?fi######################

UDP

DNS ASK ip##pi.com

Другое

Ищет следующие окна

ClassName: '' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\sentinel_chromelevator\chromelevator.exe' -o %TEMP%\sentinel_chromelevator -k chrome
'%TEMP%\sentinel_chromelevator\chromelevator.exe' -o %TEMP%\sentinel_chromelevator -k edge

Запускает на исполнение

'<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq chrome.exe" /NH /FO CSV (со скрытым окном)
'<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq msedge.exe" /NH /FO CSV (со скрытым окном)
'<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq firefox.exe" /NH /FO CSV (со скрытым окном)
'<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq browser.exe" /NH /FO CSV (со скрытым окном)
'<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq opera.exe" /NH /FO CSV (со скрытым окном)
'<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq brave.exe" /NH /FO CSV (со скрытым окном)
'<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq vivaldi.exe" /NH /FO CSV (со скрытым окном)
'<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq chromium.exe" /NH /FO CSV (со скрытым окном)
'%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe'
'<SYSTEM32>\wbem\wmic.exe' process get executablepath /format:list
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -Command "Get-CimInstance Win32_Process | Where-Object { $_.ExecutablePath -match 'telegram|ayugram|auygram|nicegram|doxgram|64gram|nekogram|kotatogram|forkgram|unigram|ime\.exe' } |...
'<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq Telegram.exe" /NH
'<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq Unigram.exe" /NH
'<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq AyuGram.exe" /NH
'<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq Auygram.exe" /NH
'<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq NiceGram.exe" /NH
'<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq DoxGram.exe" /NH
'<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq 64Gram.exe" /NH
'<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq Nekogram.exe" /NH
'<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq iMe.exe" /NH
'<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq Kotatogram.exe" /NH
'<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq Forkgram.exe" /NH
'<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq EpicGamesLauncher.exe" /NH
'<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq SocialClubHelper.exe" /NH
'<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq LauncherPatcher.exe" /NH
'<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq Rockstar-Games-Launcher.exe" /NH
'<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq PlayGTAV.exe" /NH
'<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq RobloxPlayerBeta.exe" /NH
'<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq RobloxStudioBeta.exe" /NH
'<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq steam.exe" /NH
'<SYSTEM32>\wbem\wmic.exe' process where "name='Discord.exe' or name='DiscordPTB.exe' or name='DiscordCanary.exe' or name='DiscordDevelopment.exe'" get ExecutablePath /format:list (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -Command "Get-Process -ErrorAction SilentlyContinue | Where-Object { $_.ProcessName -match '^Discord' } | ForEach-Object { try { $_.MainModule.FileName } catch {} }" (со скрытым окном)
'<SYSTEM32>\taskkill.exe' /F /IM firefox.exe /T (со скрытым окном)