Trojan.Siggen32.27321

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[HKLM\SYSTEM\CurrentControlSet\Services\IBNNIRMG] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\IBNNIRMG] 'ImagePath' = '%ALLUSERSPROFILE%\yubqfmsjzjrp\btzjyagpbmdi.exe'

Создает следующие сервисы

'IBNNIRMG' %ALLUSERSPROFILE%\yubqfmsjzjrp\btzjyagpbmdi.exe

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует:

Журнал событий Windows (Windows Event Logging)

добавляет исключения антивируса:

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath @($env:UserProfile, $env:ProgramData) -ExclusionExtension '.exe' -Force

Внедряет код в

следующие системные процессы:

<SYSTEM32>\conhost.exe

Изменения в файловой системе

Создает следующие файлы

%LOCALAPPDATA%\softwareupdate\servicehost.exe
%ALLUSERSPROFILE%\yubqfmsjzjrp\btzjyagpbmdi.exe
%WINDIR%\temp\__psscriptpolicytest_vctwwz2f.1ji.ps1
%WINDIR%\temp\__psscriptpolicytest_sfaee15s.bvn.psm1
%WINDIR%\temp\content\4376-5800-powershell.exe-15-22-00-572.dump
%WINDIR%\temp\content\4376-5800-powershell.exe-15-22-01-050.dump
%WINDIR%\temp\content\4376-5800-powershell.exe-15-22-01-151.dump
%WINDIR%\temp\content\4376-5800-powershell.exe-15-22-01-305.dump
%WINDIR%\temp\content\4376-5800-powershell.exe-15-22-01-352.dump
%WINDIR%\temp\__psscriptpolicytest_5k3cvz5r.rlk.ps1
%WINDIR%\temp\__psscriptpolicytest_v0ldojsh.rhq.psm1
%WINDIR%\temp\content\4376-5800-powershell.exe-15-22-01-521.dump
%WINDIR%\temp\content\4376-5800-powershell.exe-15-22-01-552.dump
%WINDIR%\temp\content\4376-5800-powershell.exe-15-22-01-622.dump
%WINDIR%\temp\content\4376-5800-powershell.exe-15-22-01-741.dump
%WINDIR%\temp\content\4376-5800-powershell.exe-15-22-01-889.dump
%WINDIR%\temp\content\4376-5800-powershell.exe-15-22-01-988.dump
%WINDIR%\temp\content\4376-5800-powershell.exe-15-22-02-118.dump
%WINDIR%\temp\content\4376-5800-powershell.exe-15-22-02-160.dump
%WINDIR%\temp\content\4376-5800-powershell.exe-15-22-02-192.dump
%WINDIR%\temp\content\4376-5800-powershell.exe-15-22-02-226.dump
%WINDIR%\temp\content\4376-5800-powershell.exe-15-22-02-258.dump
%WINDIR%\temp\content\4376-5800-powershell.exe-15-22-02-289.dump
%WINDIR%\temp\content\4376-5800-powershell.exe-15-22-02-324.dump
%WINDIR%\temp\content\4376-5800-powershell.exe-15-22-02-781.dump
%WINDIR%\temp\content\4376-5800-powershell.exe-15-22-02-850.dump
%WINDIR%\temp\content\4376-5800-powershell.exe-15-22-02-888.dump
%WINDIR%\temp\content\4376-5800-powershell.exe-15-22-02-935.dump
%WINDIR%\temp\content\4376-5800-powershell.exe-15-22-02-966.dump
%WINDIR%\temp\content\4376-5800-powershell.exe-15-22-03-035.dump
<SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\powershell\startupprofiledata-noninteractive
%WINDIR%\temp\wjylgowutsgc.sys

Удаляет файлы, которые сам же создал

%WINDIR%\temp\__psscriptpolicytest_vctwwz2f.1ji.ps1
%WINDIR%\temp\__psscriptpolicytest_sfaee15s.bvn.psm1
%WINDIR%\temp\__psscriptpolicytest_5k3cvz5r.rlk.ps1
%WINDIR%\temp\__psscriptpolicytest_v0ldojsh.rhq.psm1

Сетевая активность

UDP

DNS ASK po##.#ashvault.pro
DNS ASK pa###bin.com
DNS ASK fi#####.###tings.services.mozilla.com

Другое

Создает и запускает на исполнение

'%LOCALAPPDATA%\softwareupdate\servicehost.exe'
'%ALLUSERSPROFILE%\yubqfmsjzjrp\btzjyagpbmdi.exe'

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c wusa /uninstall /kb:890830 /quiet /norestart
'<SYSTEM32>\sc.exe' stop UsoSvc
'<SYSTEM32>\sc.exe' stop WaaSMedicSvc
'<SYSTEM32>\wusa.exe' /uninstall /kb:890830 /quiet /norestart
'<SYSTEM32>\sc.exe' stop wuauserv
'<SYSTEM32>\sc.exe' stop bits
'<SYSTEM32>\sc.exe' stop dosvc
'<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-ac 0
'<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-dc 0
'<SYSTEM32>\powercfg.exe' /x -standby-timeout-ac 0
'<SYSTEM32>\powercfg.exe' /x -standby-timeout-dc 0
'<SYSTEM32>\sc.exe' delete "IBNNIRMG"
'<SYSTEM32>\sc.exe' create "IBNNIRMG" binpath= "%ALLUSERSPROFILE%\yubqfmsjzjrp\btzjyagpbmdi.exe" start= "auto"
'<SYSTEM32>\sc.exe' stop eventlog
'<SYSTEM32>\sc.exe' start "IBNNIRMG"