Trojan.Siggen32.27332

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'Atocha' = '%ProgramFiles(x86)%\Haagensen\Atocha.exe "PujuhPujutPujutPujupPujusPuju:Puju/Puju/PujuwPujuwPujuwPuju.PujurPujuePujuePujulPujuiP...
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'Haagensen' = '%LOCALAPPDATA%\Atocha.exe "PujuhPujutPujutPujupPujusPuju:Puju/Puju/PujuwPujuwPujuwPuju.PujurPujuePujuePujulPujuiPujutPujunPuj...
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'chyron' = '"%ProgramFiles(x86)%\Haagensen\chyron.exe"'

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\atochal_kmy9tk
<SYSTEM32>\tasks\chyron_akio5d
%APPDATA%\microsoft\windows\start menu\programs\startup\useagechyron.lnk
<SYSTEM32>\tasks\atocha_axno7i
%APPDATA%\microsoft\windows\start menu\programs\startup\useageatocha.lnk
%APPDATA%\microsoft\windows\start menu\programs\startup\useage.lnk

Вредоносные функции

Запускает на исполнение

'%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="Atochaa" dir=in action=allow program="%ProgramFiles(x86)%\Haagensen\Atocha.exe$" enable=yes profile=public,private
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="Atochab" dir=out action=allow program="%ProgramFiles(x86)%\Haagensen\Atocha.exe$" enable=yes profile=public,private

Внедряет код в

следующие системные процессы:

%WINDIR%\syswow64\explorer.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\nszd260.tmp\nsexec.dll
%TEMP%\nszd260.tmp\attackers.exe
%TEMP%\nszd260.tmp\atocha.xml
%TEMP%\nszd260.tmp\toller.xml
%TEMP%\nszd260.tmp\atochal.xml
%TEMP%\nszd260.tmp\tollerl.xml
%TEMP%\nszd260.tmp\atochan.xml
%TEMP%\nszd260.tmp\tollern.xml
%TEMP%\nszd260.tmp\atochaa.xml
%TEMP%\nszd260.tmp\tollera.xml
%TEMP%\nszd260.tmp\chyron.xml
%TEMP%\nszd260.tmp\reattached.xml
%TEMP%\nszd260.tmp\oes.xml
%TEMP%\nszd260.tmp\selfdel.dll
%ProgramFiles(x86)%\haagensen\runtimes\win-arm64\native\webview2loader.dll
%ProgramFiles(x86)%\haagensen\runtimes\win-x64\native\webview2loader.dll
%ProgramFiles(x86)%\haagensen\runtimes\win-x86\native\webview2loader.dll
%ProgramFiles(x86)%\haagensen\chyron.exe
%ProgramFiles(x86)%\haagensen\atocha.exe.config
%ProgramFiles(x86)%\haagensen\microsoft.web.webview2.winforms.dll
%ProgramFiles(x86)%\haagensen\microsoft.web.webview2.wpf.dll
%ProgramFiles(x86)%\haagensen\microsoft.web.webview2.core.dll
%ProgramFiles(x86)%\haagensen\atocha.exe
%LOCALAPPDATA%\runtimes\win-arm64\native\webview2loader.dll
%LOCALAPPDATA%\runtimes\win-x64\native\webview2loader.dll
%LOCALAPPDATA%\runtimes\win-x86\native\webview2loader.dll
%LOCALAPPDATA%\atocha.exe.config
%LOCALAPPDATA%\app.exe.config
%LOCALAPPDATA%\microsoft.web.webview2.winforms.dll
%LOCALAPPDATA%\microsoft.web.webview2.wpf.dll
%LOCALAPPDATA%\microsoft.web.webview2.core.dll
%LOCALAPPDATA%\atocha.exe
%TEMP%\nszd260.tmp\simplefc.dll
%TEMP%\nsf8748.tmp\nsexec.dll
%LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\atocha.exe.log
%TEMP%\nsg9449.tmp\nsexec.dll
%TEMP%\nsz9d80.tmp\nsexec.dll

Удаляет файлы, которые сам же создал

%TEMP%\nsf8748.tmp\nsexec.dll
%TEMP%\nsg9449.tmp\nsexec.dll
%TEMP%\nsz9d80.tmp\nsexec.dll
%TEMP%\nszd260.tmp\atocha.xml
%TEMP%\nszd260.tmp\atochaa.xml
%TEMP%\nszd260.tmp\atochal.xml
%TEMP%\nszd260.tmp\atochan.xml
%TEMP%\nszd260.tmp\attackers.exe
%TEMP%\nszd260.tmp\chyron.xml
%TEMP%\nszd260.tmp\nsexec.dll
%TEMP%\nszd260.tmp\oes.xml
%TEMP%\nszd260.tmp\reattached.xml
%TEMP%\nszd260.tmp\selfdel.dll
%TEMP%\nszd260.tmp\simplefc.dll
%TEMP%\nszd260.tmp\toller.xml
%TEMP%\nszd260.tmp\tollera.xml
%TEMP%\nszd260.tmp\tollerl.xml
%TEMP%\nszd260.tmp\tollern.xml

Самоудаляется.

Другое

Создает и запускает на исполнение

'%LOCALAPPDATA%\atocha.exe' "PujuhPujutPujutPujupPujusPuju:Puju/Puju/PujuwPujuwPujuwPuju.PujurPujuePujuePujulPujuiPujutPujunPujuoPujuwPuju.PujucPujuoPujumPuju/PujunymuljayfoPujupjwrqtrztiPujunhtm1NS1aoPujuE4A30FzYZbPujuSG...
'%ProgramFiles(x86)%\haagensen\chyron.exe'
'%TEMP%\nszd260.tmp\attackers.exe' "%TEMP%\nszD260.tmp\AtochaL"
'%ProgramFiles(x86)%\haagensen\atocha.exe' "PujuhPujutPujutPujupPujusPuju:Puju/Puju/PujuwPujuwPujuwPuju.PujurPujuePujuePujulPujuiPujutPujunPujuoPujuwPuju.PujucPujuoPujumPuju/PujunymuljayfoPujupjwrqtrztiPujunhtm1NS1aoPujuE4A30FzYZbPujuSG...
'%TEMP%\nszd260.tmp\attackers.exe' "%TEMP%\nszD260.tmp\chyron"
'%ProgramFiles(x86)%\haagensen\chyron.exe' /mute "Microsoft Edge WebView2"
'%TEMP%\nszd260.tmp\attackers.exe' "%TEMP%\nszD260.tmp\Atocha"

Запускает на исполнение

'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreferencau89a1au89a1 -ExclusionPath \"%LOCALAPPDATA%\"" (со скрытым окном)
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreferencau89a1au89a1 -ExclusionPath \"%ProgramFiles(x86)%\deposed\"" (со скрытым окном)
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreferencau89a1au89a1 -ExclusionPath \"%ProgramFiles(x86)%\Haagensen\"" (со скрытым окном)
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreferencau89a1au89a1 -ExclusionPath \"%TEMP%\nszD260.tmp\"" (со скрытым окном)
'%WINDIR%\syswow64\explorer.exe'
'%WINDIR%\syswow64\schtasks.exe' /create /xml ""%TEMP%\nszD260.tmp\AtochaL".xml" /tn "" /f (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /create /xml ""%TEMP%\nszD260.tmp\chyron".xml" /tn "" /f (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /create /xml ""%TEMP%\nszD260.tmp\Atocha".xml" /tn "" /f (со скрытым окном)
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="Atochaa" dir=in action=allow program="%ProgramFiles(x86)%\Haagensen\Atocha.exe$" enable=yes profile=public,private (со скрытым окном)
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="Atochab" dir=out action=allow program="%ProgramFiles(x86)%\Haagensen\Atocha.exe$" enable=yes profile=public,private (со скрытым окном)