Trojan.Siggen32.26999

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[HKLM\SYSTEM\CurrentControlSet\Services\vally3dka] 'Start' = '00000001'
[HKLM\SYSTEM\CurrentControlSet\Services\vally3dka] 'ImagePath' = '%TEMP%\vally3dka.sys'
[HKLM\SYSTEM\CurrentControlSet\Services\vafdska] 'Start' = '00000001'
[HKLM\SYSTEM\CurrentControlSet\Services\vafdska] 'ImagePath' = '%WINDIR%\TEMP\vafdska.sys'
[HKLM\SYSTEM\CurrentControlSet\Services\MicrosoftSoftware2ShadowCop4yProvider] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\MicrosoftSoftware2ShadowCop4yProvider] 'ImagePath' = 'regsvr32.exe /S "%ALLUSERSPROFILE%\Roning\goldendays.dll'
[HKLM\SYSTEM\CurrentControlSet\Services\vmservice] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\vmservice] 'ImagePath' = '%TEMP%\vmservice.sys'
[HKLM\SYSTEM\CurrentControlSet\Services\MiniFilterDrv] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\MiniFilterDrv] 'ImagePath' = '%TEMP%\MiniFilterDrv'

Создает следующие сервисы

'vally3dka' %TEMP%\\vally3dka.sys
'vally3dka' %TEMP%\vally3dka.sys
'vafdska' %WINDIR%\TEMP\\vafdska.sys
'vafdska' %WINDIR%\TEMP\vafdska.sys
'MicrosoftSoftware2ShadowCop4yProvider' regsvr32.exe /S "%ALLUSERSPROFILE%\Roning\goldendays.dll
'vmservice' %TEMP%\vmservice.sys
'MiniFilterDrv' %TEMP%\MiniFilterDrv

Вредоносные функции

Внедряет код в

следующие системные процессы:

Завершает или пытается завершить

следующие системные процессы:

Регистрирует фильтр файловой системы

[HKLM\SYSTEM\CurrentControlSet\Services\MiniFilterDrv] 'Group' = 'FSFilter Activity Monitor'

Изменения в файловой системе

Создает следующие файлы

%TEMP%\nsafe7b.tmp
%TEMP%\nspfe8b.tmp\system.dll
%TEMP%\nspfe8b.tmp\userinfo.dll
%TEMP%\nspfe8b.tmp\nsis_tauri_utils.dll
%ProgramFiles%\qi\ox8dsmdo\09i471\dhjii5.eu
%ProgramFiles%\qi\ox8dsmdo\09i471\tcui-app.dll
%ProgramFiles%\qi\ox8dsmdo\09i471\tm5p4nby.exe
%ProgramFiles%\qi\ox8dsmdo\09i471\uninstall.exe
C:\users\public\downloads\20260228025822\hjk.txt
C:\users\public\downloads\20260228025822\gbczs.exe
C:\users\public\downloads\20260228025822\xboxapp.dll
C:\users\public\downloads\20260228025822\gbczsf1c.df
%TEMP%\vally3dka.sys
%WINDIR%\zam.krnl.trace
%WINDIR%\temp\vafdska.sys
C:\users\public\downloads\20260228025822\1.bat
C:\users\public\downloads\20260228025822\fhq.bat
C:\users\public\downloads\20260228025822\agg.txt
%ALLUSERSPROFILE%\roning\enpug.bin
%ALLUSERSPROFILE%\roning\goldendays.dll
%ALLUSERSPROFILE%\roning\trustinstaller.bin
%WINDIR%\trbuzopupo.bat
%ALLUSERSPROFILE%\diamondage\diamondage.dll
%ALLUSERSPROFILE%\diamondage\diamondage.exe
%TEMP%\vmservice.sys
nul
%TEMP%\minifilterdrv
C:\users\public\downloads\20260228025822\kill.txt
C:\users\public\downloads\20260228025822\1.dll
<SYSTEM32>\wow64log.dll
<SYSTEM32>\codeintegrity\cipolicies\active\{31351756-3f24-4963-8380-4e7602335aae}.cip
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\eagleregister telecommunications.lnk