Trojan.Siggen32.27054

Техническая информация

Вредоносные функции

Запускает на исполнение

'<SYSTEM32>\taskkill.exe' /F /IM chrome.exe

Завершает или пытается завершить

следующие системные процессы:

<SYSTEM32>\cmd.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\onefile_3276_134167364337407732\stub.exe
%TEMP%\onefile_3276_134167364337407732\_asyncio.pyd
%TEMP%\onefile_3276_134167364337407732\_bz2.pyd
%TEMP%\onefile_3276_134167364337407732\_cffi_backend.pyd
%TEMP%\onefile_3276_134167364337407732\_ctypes.pyd
%TEMP%\onefile_3276_134167364337407732\_decimal.pyd
%TEMP%\onefile_3276_134167364337407732\_hashlib.pyd
%TEMP%\onefile_3276_134167364337407732\_lzma.pyd
%TEMP%\onefile_3276_134167364337407732\_multiprocessing.pyd
%TEMP%\onefile_3276_134167364337407732\_overlapped.pyd
%TEMP%\onefile_3276_134167364337407732\_queue.pyd
%TEMP%\onefile_3276_134167364337407732\_socket.pyd
%TEMP%\onefile_3276_134167364337407732\_sqlite3.pyd
%TEMP%\onefile_3276_134167364337407732\_ssl.pyd
%TEMP%\onefile_3276_134167364337407732\_uuid.pyd
%TEMP%\onefile_3276_134167364337407732\libcrypto-1_1.dll
%TEMP%\onefile_3276_134167364337407732\libffi-7.dll
%TEMP%\onefile_3276_134167364337407732\libssl-1_1.dll
%TEMP%\onefile_3276_134167364337407732\pyexpat.pyd
%TEMP%\onefile_3276_134167364337407732\python3.dll
%TEMP%\onefile_3276_134167364337407732\python310.dll
%TEMP%\onefile_3276_134167364337407732\select.pyd
%TEMP%\onefile_3276_134167364337407732\sqlite3.dll
%TEMP%\onefile_3276_134167364337407732\unicodedata.pyd
%TEMP%\onefile_3276_134167364337407732\vcruntime140.dll
%TEMP%\onefile_3276_134167364337407732\aiohttp\_helpers.pyd
%TEMP%\onefile_3276_134167364337407732\aiohttp\_http_parser.pyd
%TEMP%\onefile_3276_134167364337407732\aiohttp\_http_writer.pyd
%TEMP%\onefile_3276_134167364337407732\aiohttp\_websocket.pyd
%TEMP%\onefile_3276_134167364337407732\certifi\cacert.pem
%TEMP%\onefile_3276_134167364337407732\cryptography\hazmat\bindings\_rust.pyd
%TEMP%\onefile_3276_134167364337407732\frozenlist\_frozenlist.pyd
%TEMP%\onefile_3276_134167364337407732\multidict\_multidict.pyd
%TEMP%\onefile_3276_134167364337407732\yarl\_helpers_c.pyd
%TEMP%\onefile_3276_134167364337407732\yarl\_quoting_c.pyd
%TEMP%\8i90kt7o
%LOCALAPPDATA%\monsterupdateservice\monster.exe

Присваивает атрибут 'скрытый' для следующих файлов

%LOCALAPPDATA%\monsterupdateservice\monster.exe

Удаляет файлы, которые сам же создал

%TEMP%\8i90kt7o

Сетевая активность

Подключается к

'localhost':49694
'localhost':49696
'localhost':49698
'localhost':49700

TCP

Другие

'localhost':49700

UDP

DNS ASK ip##pi.com

Другое

Ищет следующие окна

ClassName: '' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\onefile_3276_134167364337407732\stub.exe'

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c "ver" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c "wmic csproduct get uuid" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c "tasklist" (со скрытым окном)
'<SYSTEM32>\wbem\wmic.exe' csproduct get uuid
'<SYSTEM32>\tasklist.exe'
'<SYSTEM32>\cmd.exe' /c "attrib +h +s "%LOCALAPPDATA%\MonsterUpdateService\Monster.exe"" (со скрытым окном)
'<SYSTEM32>\attrib.exe' +h +s "%LOCALAPPDATA%\MonsterUpdateService\Monster.exe"
'<SYSTEM32>\cmd.exe' /c "mshta "javascript:var sh=new ActiveXObject('WScript.Shell'); sh.Popup('The Program can\x22t start because api-ms-win-crt-runtime-|l1-1-.dll is missing from your computer. Try reinstalling t... (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c "taskkill /F /IM chrome.exe" (со скрытым окном)
'<SYSTEM32>\mshta.exe' "javascript:var sh=new ActiveXObject('WScript.Shell'); sh.Popup('The Program can\x22t start because api-ms-win-crt-runtime-|l1-1-.dll is missing from your computer. Try reinstalling the program...