Trojan.Siggen32.26971

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\microsoft\windows\windows update listner
<SYSTEM32>\tasks\microsoft\microsoft launcher
<SYSTEM32>\tasks\launch adobe ccxprocess

Устанавливает следующие настройки сервисов

[HKLM\SYSTEM\CurrentControlSet\Services\System Diagnostics Host] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\System Diagnostics Host] 'ImagePath' = '%WINDIR%\SysWOW64\SystemDiagnosticsHost.exe'

Создает следующие сервисы

'System Diagnostics Host' %WINDIR%\SysWOW64\SystemDiagnosticsHost.exe

Вредоносные функции

Запускает на исполнение

'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="Window Listner" dir=in action=allow program="%WINDIR%\Media\mppr.exe" enable=yes

Внедряет код в

следующие системные процессы:

%WINDIR%\explorer.exe

Патчит код

в динамической библиотеке AMSI

Процесс mppr.exe, модуль Amsi.dll

Изменения в файловой системе

Создает следующие файлы

%TEMP%\tbh505io.s54.exe
%TEMP%\readme kmspico install.txt
%LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\<Имя файла>.exe.log
%WINDIR%\media\mppr.exe
%WINDIR%\inputmethod\shared\rc_connectedaccount.exe
%WINDIR%\media\msldriver.dll
%WINDIR%\syswow64\systemdiagnosticshost.exe
%TEMP%\content\3972-4044-tbh505io.s54.exe-23-14-19-866.dump
%TEMP%\content\3972-4044-tbh505io.s54.exe-23-14-19-983.dump
%TEMP%\tmp2636.tmp.bat
%LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\tbh505io.s54.exe.log
%TEMP%\content\2400-2592-mppr.exe-23-14-22-397.dump
%TEMP%\tmp2fda.tmp
%TEMP%\tmp3058.tmp
%LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\mppr.exe.log

Присваивает атрибут 'скрытый' для следующих файлов

%WINDIR%\media\mppr.exe
%WINDIR%\inputmethod\shared\rc_connectedaccount.exe
%WINDIR%\media\msldriver.dll
%WINDIR%\syswow64\systemdiagnosticshost.exe

Удаляет файлы, которые сам же создал

%TEMP%\tmp2fda.tmp
%TEMP%\tmp3058.tmp

Изменяет файл HOSTS.

Сетевая активность

UDP

DNS ASK cv######wgyffrwu9iww6.com
DNS ASK vv######gyuigi2.hopto.org
DNS ASK dw######jfk8ds5.hopto.org
DNS ASK ui######wgydfhbhuifdf.com
DNS ASK 91######nqtphj2.hopto.org
DNS ASK 2w######jfui309.hopto.org
DNS ASK cv######ynwfffgyui2w4.com
DNS ASK 8j######wi6ns92.hopto.org
DNS ASK ug######jhf02jbhdfg9u.com
DNS ASK vv######jnj25i5.hopto.org

Другое

Создает и запускает на исполнение

'%TEMP%\tbh505io.s54.exe'
'%WINDIR%\syswow64\systemdiagnosticshost.exe'
'%WINDIR%\media\mppr.exe'

Запускает на исполнение

'<SYSTEM32>\notepad.exe' %TEMP%\ReadMe KMSpico Install.txt
'<SYSTEM32>\cmd.exe' /c schtasks /create /f /sc minute /rl highest /mo 1 /tn "Microsoft\Windows\Windows Update Listner" /tr "%WINDIR%\Media\mppr.exe" & exit (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c schtasks /create /f /sc minute /rl highest /mo 5 /tn "Microsoft\Microsoft Launcher" /tr "%WINDIR%\InputMethod\SHARED\RC_ConnectedAccount.exe" & exit (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c schtasks /create /f /rl highest /tn "Launch Adobe CCXProcess" /tr ""%WINDIR%\Media\mppr.exe"" /sc onlogon & exit (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c sc create "System Diagnostics Host" binPath= "%WINDIR%\SysWOW64\SystemDiagnosticsHost.exe" obj= "LocalSystem" start= auto & exit (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /create /f /sc minute /rl highest /mo 1 /tn "Microsoft\Windows\Windows Update Listner" /tr "%WINDIR%\Media\mppr.exe"
'<SYSTEM32>\cmd.exe' /c sc description "System Diagnostics Host" "Monitors and manages system diagnostic tasks." & exit (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /create /f /sc minute /rl highest /mo 5 /tn "Microsoft\Microsoft Launcher" /tr "%WINDIR%\InputMethod\SHARED\RC_ConnectedAccount.exe"
'<SYSTEM32>\cmd.exe' /c sc start "System Diagnostics Host" & exit (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c netsh advfirewall firewall add rule name="Window Listner" dir=in action=allow program="%WINDIR%\Media\mppr.exe" enable=yes & exit (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /create /f /rl highest /tn "Launch Adobe CCXProcess" /tr ""%WINDIR%\Media\mppr.exe"" /sc onlogon
'<SYSTEM32>\sc.exe' create "System Diagnostics Host" binPath= "%WINDIR%\SysWOW64\SystemDiagnosticsHost.exe" obj= "LocalSystem" start= auto
'<SYSTEM32>\sc.exe' description "System Diagnostics Host" "Monitors and manages system diagnostic tasks."
'<SYSTEM32>\sc.exe' start "System Diagnostics Host"
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\tmp2636.tmp.bat""