Trojan.Siggen32.27340

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[HKLM\SYSTEM\CurrentControlSet\services\KernelOfflineDefender\Parameters] 'ServiceDll' = '<SYSTEM32>\KernelOfflineDefender.dll'
[HKLM\SYSTEM\CurrentControlSet\Services\KernelOfflineDefender] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\KernelOfflineDefender] 'ImagePath' = '<SYSTEM32>\svchost.exe -k KernelOfflineDefender'
[HKLM\SYSTEM\CurrentControlSet\services\KernelAdapterTerminal\Parameters] 'ServiceDll' = '<SYSTEM32>\KernelAdapterTerminal.dll'
[HKLM\SYSTEM\CurrentControlSet\Services\KernelAdapterTerminal] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\KernelAdapterTerminal] 'ImagePath' = '<SYSTEM32>\svchost.exe -k KernelAdapterTerminal'
[HKLM\SYSTEM\CurrentControlSet\services\SystemPrinterWireless\Parameters] 'ServiceDll' = '<SYSTEM32>\SystemPrinterWireless.dll'
[HKLM\SYSTEM\CurrentControlSet\Services\SystemPrinterWireless] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\SystemPrinterWireless] 'ImagePath' = '<SYSTEM32>\svchost.exe -k SystemPrinterWireless'

Создает следующие сервисы

'KernelOfflineDefender' <SYSTEM32>\svchost.exe -k KernelOfflineDefender
'KernelAdapterTerminal' <SYSTEM32>\svchost.exe -k KernelAdapterTerminal
'SystemPrinterWireless' <SYSTEM32>\svchost.exe -k SystemPrinterWireless

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует запуск следующих системных утилит:

Обновления системы (Windows Update)

добавляет исключения антивируса:

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -inputformat none -outputformat none -NonInteractive -Command Add-MpPreference -ExclusionPath "<SYSTEM32>"
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -inputformat none -outputformat none -NonInteractive -Command Add-MpPreference -ExclusionPath "%WINDIR%\TEMP\"

Патчит код

в динамической библиотеке

Процесс svchost.exe, модуль KERNEL32.dll

в динамической библиотеке NTDLL

Процесс svchost.exe, модуль ntdll.dll

Изменения в файловой системе

Создает следующие файлы

<SYSTEM32>\kernelofflinedefender.dll
%WINDIR%\omofes.bin
%WINDIR%\temp\__psscriptpolicytest_had0a3ul.vfb.ps1
%WINDIR%\temp\__psscriptpolicytest_otqq3um5.li2.psm1
<SYSTEM32>\kerneladapterterminal.dll
<SYSTEM32>\systemprinterwireless.dll
%WINDIR%\temp\__psscriptpolicytest_rkhjfbcj.54y.ps1
%WINDIR%\temp\__psscriptpolicytest_u1xiywyj.jcs.psm1
%WINDIR%\temp\content\1216-3568-powershell.exe-22-53-35-335.dump
%WINDIR%\temp\content\1216-3568-powershell.exe-22-53-35-838.dump
%WINDIR%\temp\content\1216-3568-powershell.exe-22-53-36-068.dump
%WINDIR%\temp\content\2680-3400-powershell.exe-22-53-36-350.dump
%WINDIR%\temp\content\1216-3568-powershell.exe-22-53-36-430.dump
<SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\powershell\startupprofiledata-noninteractive
%WINDIR%\temp\content\1216-3568-powershell.exe-22-53-36-495.dump
%WINDIR%\temp\__psscriptpolicytest_tvfspei1.d35.ps1
%WINDIR%\temp\__psscriptpolicytest_jgq1aolm.2om.psm1
%WINDIR%\temp\content\1216-3568-powershell.exe-22-53-37-091.dump
%WINDIR%\temp\content\1216-3568-powershell.exe-22-53-37-170.dump
%WINDIR%\temp\content\1216-3568-powershell.exe-22-53-37-270.dump
%WINDIR%\temp\content\1216-3568-powershell.exe-22-53-37-510.dump
%WINDIR%\temp\content\1216-3568-powershell.exe-22-53-38-117.dump
%WINDIR%\temp\content\1216-3568-powershell.exe-22-53-38-344.dump
%WINDIR%\temp\content\1216-3568-powershell.exe-22-53-39-032.dump
%WINDIR%\temp\content\1216-3568-powershell.exe-22-53-39-325.dump
%WINDIR%\temp\content\1216-3568-powershell.exe-22-53-39-613.dump
%WINDIR%\temp\content\1216-3568-powershell.exe-22-53-39-697.dump
%WINDIR%\temp\content\1216-3568-powershell.exe-22-53-39-792.dump
%WINDIR%\temp\content\1216-3568-powershell.exe-22-53-39-894.dump
%WINDIR%\temp\content\1216-3568-powershell.exe-22-53-40-057.dump
%WINDIR%\temp\content\1216-3568-powershell.exe-22-53-45-107.dump
%WINDIR%\temp\advapi32.dll
<SYSTEM32>\winring0x64.sys

Удаляет файлы, которые сам же создал

%WINDIR%\temp\__psscriptpolicytest_had0a3ul.vfb.ps1
%WINDIR%\temp\__psscriptpolicytest_otqq3um5.li2.psm1
%WINDIR%\temp\__psscriptpolicytest_rkhjfbcj.54y.ps1
%WINDIR%\temp\__psscriptpolicytest_u1xiywyj.jcs.psm1
%WINDIR%\temp\__psscriptpolicytest_tvfspei1.d35.ps1
%WINDIR%\temp\__psscriptpolicytest_jgq1aolm.2om.psm1

Сетевая активность

Подключается к

'gr###fy.link':443
'rx.###ineable.com':3333

TCP

Другие

'gr###fy.link':443
'rx.###ineable.com':3333

UDP

DNS ASK gr###fy.link
DNS ASK rx.###ineable.com

Другое

Запускает на исполнение

'<SYSTEM32>\svchost.exe' -k KernelOfflineDefender -s KernelOfflineDefender
'<SYSTEM32>\cmd.exe' /c start powershell.exe -inputformat none -outputformat none -NonInteractive -Command Add-MpPreference -ExclusionPath "<SYSTEM32>"
'<SYSTEM32>\cmd.exe' /c start powershell.exe -inputformat none -outputformat none -NonInteractive -Command Add-MpPreference -ExclusionPath "%WINDIR%\TEMP\"
'<SYSTEM32>\cmd.exe' /c sc config "WaaSMedicSvc" start= disabled
'<SYSTEM32>\sc.exe' config "WaaSMedicSvc" start= disabled
'<SYSTEM32>\cmd.exe' /c sc config "UsoSvc" start= disabled
'<SYSTEM32>\sc.exe' config "UsoSvc" start= disabled
'<SYSTEM32>\cmd.exe' /c sc config "BITS" start= disabled
'<SYSTEM32>\sc.exe' config "BITS" start= disabled
'<SYSTEM32>\cmd.exe' /c sc config "wuauserv" start= disabled
'<SYSTEM32>\sc.exe' config "wuauserv" start= disabled
'<SYSTEM32>\cmd.exe' /c sc config "dosvc" start= disabled
'<SYSTEM32>\svchost.exe' -k KernelAdapterTerminal -s KernelAdapterTerminal
'<SYSTEM32>\sc.exe' config "dosvc" start= disabled
'<SYSTEM32>\cmd.exe' /c sc config "TrustedInstaller" start= disabled
'<SYSTEM32>\svchost.exe' -k SystemPrinterWireless -s SystemPrinterWireless
'<SYSTEM32>\sc.exe' config "TrustedInstaller" start= disabled
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -inputformat none -outputformat none -NonInteractive -Command Add-MpPreference -ExclusionPath "<SYSTEM32>" (со скрытым окном)