Trojan.Siggen32.28941

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

%APPDATA%\microsoft\windows\start menu\programs\startup\discord.exe

Вредоносные функции

Для затруднения выявления своего присутствия в системе

добавляет исключения антивируса:

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '%HOMEPATH%\discordupdate.exe'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableIntrusionPreventionSystem $true -DisableIOAVProtection $true -DisableRealtimeMonitoring $true -DisableScriptScanning $true -EnableControlledFolderAccess Disabled -Enabl...
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '%ALLUSERSPROFILE%\Microsoft\Windows\Start Menu\Programs\StartUp\ .scr'

Изменения в файловой системе

Создает следующие файлы

%TEMP%\content\3124-3084-<Имя файла>.exe-03-29-56-231.dump
%LOCALAPPDATA%\discord.exe
%LOCALAPPDATA%\triggerscanner.exe
%LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\<Имя файла>.exe.log
%HOMEPATH%\discord.exe
%TEMP%\_mei27882\vcruntime140.dll
%TEMP%\_mei27882\_bz2.pyd
%TEMP%\_mei27882\_decimal.pyd
%TEMP%\_mei27882\_hashlib.pyd
%TEMP%\_mei27882\_lzma.pyd
%TEMP%\_mei27882\_socket.pyd
%TEMP%\_mei27882\base_library.zip
%TEMP%\_mei27882\libcrypto-3.dll
%HOMEPATH%\discordupdate.exe
%TEMP%\_mei27882\python313.dll
%LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\discord.exe.log
%TEMP%\_mei14882\vcruntime140.dll
%TEMP%\content\4372-4664-discord.exe-03-30-02-605.dump
%TEMP%\_mei14882\_bz2.pyd
%TEMP%\_mei14882\_ctypes.pyd
%TEMP%\_mei14882\_decimal.pyd
%TEMP%\_mei14882\_hashlib.pyd
%TEMP%\_mei14882\_lzma.pyd
%TEMP%\_mei14882\_queue.pyd
%TEMP%\_mei14882\_socket.pyd
%TEMP%\_mei14882\_sqlite3.pyd
%TEMP%\_mei14882\_ssl.pyd
%TEMP%\_mei14882\base_library.zip
%TEMP%\_mei14882\blank.aes
%TEMP%\_mei14882\libcrypto-3.dll
%TEMP%\_mei14882\libffi-8.dll
%TEMP%\_mei14882\libssl-3.dll
%TEMP%\_mei27882\select.pyd
%TEMP%\_mei27882\unicodedata.pyd
%TEMP%\_mei14882\python311.dll
%TEMP%\_mei14882\rar.exe
%TEMP%\_mei14882\rarreg.key
%TEMP%\_mei14882\select.pyd
%TEMP%\_mei14882\sqlite3.dll
%TEMP%\_mei14882\unicodedata.pyd
%LOCALAPPDATA%\scanner.lock
%LOCALAPPDATA%\triggers.lua
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\startup\ .scr

Присваивает атрибут 'скрытый' для следующих файлов

%HOMEPATH%\discordupdate.exe

Удаляет файлы, которые сам же создал

%LOCALAPPDATA%\scanner.lock

Сетевая активность

UDP

DNS ASK bl###-ldckf.in
DNS ASK 5.###.cpolar.top
DNS ASK gs##tic.com

Другое

Создает и запускает на исполнение

'%LOCALAPPDATA%\discord.exe'
'%LOCALAPPDATA%\triggerscanner.exe'
'%HOMEPATH%\discord.exe'
'%HOMEPATH%\discordupdate.exe'

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c "powershell -Command Add-MpPreference -ExclusionPath '%HOMEPATH%\discordupdate.exe'" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c "powershell Set-MpPreference -DisableIntrusionPreventionSystem $true -DisableIOAVProtection $true -DisableRealtimeMonitoring $true -DisableScriptScanning $true -EnableControlledFolderAccess ... (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c "tasklist /FO LIST" (со скрытым окном)
'<SYSTEM32>\tasklist.exe' /FO LIST
'<SYSTEM32>\cmd.exe' /c "wmic csproduct get uuid" (со скрытым окном)
'<SYSTEM32>\wbem\wmic.exe' csproduct get uuid
'<SYSTEM32>\cmd.exe' /c "REG QUERY HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class\{4D36E968-E325-11CE-BFC1-08002BE10318}\0000\DriverDesc 2" (со скрытым окном)
'<SYSTEM32>\reg.exe' QUERY HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class\{4D36E968-E325-11CE-BFC1-08002BE10318}\0000\DriverDesc 2
'<SYSTEM32>\cmd.exe' /c "REG QUERY HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class\{4D36E968-E325-11CE-BFC1-08002BE10318}\0000\ProviderName 2" (со скрытым окном)
'<SYSTEM32>\reg.exe' QUERY HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class\{4D36E968-E325-11CE-BFC1-08002BE10318}\0000\ProviderName 2
'<SYSTEM32>\cmd.exe' /c "wmic path win32_VideoController get name" (со скрытым окном)
'<SYSTEM32>\wbem\wmic.exe' path win32_VideoController get name
'<SYSTEM32>\cmd.exe' /c "attrib +h +s "%HOMEPATH%\discordupdate.exe"" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c "powershell -Command Add-MpPreference -ExclusionPath '%ALLUSERSPROFILE%\Microsoft\Windows\Start Menu\Programs\StartUp\ .scr'" (со скрытым окном)
'<SYSTEM32>\attrib.exe' +h +s "%HOMEPATH%\discordupdate.exe"