Trojan.Siggen32.46011

Техническая информация

Вредоносные функции

Запускает на исполнение

'<SYSTEM32>\taskkill.exe' /f /im WindowsServiceHost.exe
'<SYSTEM32>\taskkill.exe' /f /im RMM.Agent.Console.exe
'<SYSTEM32>\taskkill.exe' /f /im "WindowsServiceHost.exe"
'<SYSTEM32>\taskkill.exe' /f /im svcguard.exe

Изменения в файловой системе

Создает следующие файлы

<Текущая директория>\windowsservicehost.exe
%TEMP%\rmm_agent_crash.log
<Текущая директория>\.installed
%TEMP%\rmm_update_cc3988083864438c937cd136b20ab953.zip
%TEMP%\rmm_update_090beb7ad1534990b18654a58d4c2f64\windowsservicehost.exe
%TEMP%\rmm_update_090beb7ad1534990b18654a58d4c2f64\rmm.agent.console.exe
%TEMP%\rmm_update_090beb7ad1534990b18654a58d4c2f64\appsettings.json
%TEMP%\rmm_update_090beb7ad1534990b18654a58d4c2f64\vcruntime140.dll
<Текущая директория>\.updating
%TEMP%\ef3c3e9a076e459eaaf33ef1d2bed625.ps1
%TEMP%\rmm_update_457dc2e80d604c989385cfed40f49e20.bat
nul
<Текущая директория>.rollback\.installed
<Текущая директория>.rollback\.updating
<Текущая директория>.rollback\<Имя файла>.exe
<Текущая директория>.rollback\windowsservicehost.exe
<Текущая директория>\appsettings.json
<Текущая директория>\rmm.agent.console.exe
<Текущая директория>\vcruntime140.dll
%TEMP%\rmm_update_708b191441ee414fa62c8c34e7363951.zip
%TEMP%\rmm_update_f4f993e408494c098d7e6589758f9603\windowsservicehost.exe
%TEMP%\rmm_update_f4f993e408494c098d7e6589758f9603\rmm.agent.console.exe
%TEMP%\rmm_update_f4f993e408494c098d7e6589758f9603\appsettings.json
%TEMP%\rmm_update_f4f993e408494c098d7e6589758f9603\vcruntime140.dll
%TEMP%\f154e83acff043ee8b047f00ccf6c04e.ps1
%TEMP%\rmm_update_ca9ef2caa3ae45c9af80302df7ee01f0.bat
<Текущая директория>.rollback\appsettings.json
<Текущая директория>.rollback\rmm.agent.console.exe
<Текущая директория>.rollback\vcruntime140.dll
%TEMP%\rmm_update_5ba1cbf2e512433d99ffdb6c01006d3b.zip
%TEMP%\rmm_update_db92234dd5ae4324bc8f4f2f1fc25719\windowsservicehost.exe
%TEMP%\rmm_update_db92234dd5ae4324bc8f4f2f1fc25719\rmm.agent.console.exe
%TEMP%\rmm_update_db92234dd5ae4324bc8f4f2f1fc25719\appsettings.json
%TEMP%\rmm_update_db92234dd5ae4324bc8f4f2f1fc25719\vcruntime140.dll
%TEMP%\6d687edb2510465bb37cf4684c6ba421.ps1
%TEMP%\rmm_update_251d1c904a284311900e58f80c2661c2.bat
%TEMP%\rmm_update_fe40ef238fb94cca8e5e749d9aff2791.zip
%TEMP%\rmm_update_00b9ad59bd8e418b880d1f089f7ce93f\windowsservicehost.exe
%TEMP%\rmm_update_00b9ad59bd8e418b880d1f089f7ce93f\rmm.agent.console.exe
%TEMP%\rmm_update_00b9ad59bd8e418b880d1f089f7ce93f\appsettings.json
%TEMP%\rmm_update_00b9ad59bd8e418b880d1f089f7ce93f\vcruntime140.dll
%TEMP%\f4021e05a5c2463ab557a38643b8ed8d.ps1

Удаляет файлы, которые сам же создал

%TEMP%\ef3c3e9a076e459eaaf33ef1d2bed625.ps1
%TEMP%\f154e83acff043ee8b047f00ccf6c04e.ps1
%TEMP%\6d687edb2510465bb37cf4684c6ba421.ps1
%TEMP%\f4021e05a5c2463ab557a38643b8ed8d.ps1

Сетевая активность

Подключается к

'x1.#.lencr.org':80

TCP

Запросы HTTP GET

http://x1.#.lencr.org/

Другие

'st####galaktika.com':443
'ap#.#pify.org':443

UDP

DNS ASK st####galaktika.com
DNS ASK x1.#.lencr.org
DNS ASK ap#.#pify.org

Другое

Ищет следующие окна

ClassName: '' WindowName: ''

Создает и запускает на исполнение

'<Текущая директория>\windowsservicehost.exe' --silent --force
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -File "%TEMP%\ef3c3e9a076e459eaaf33ef1d2bed625.ps1"
'<Текущая директория>\windowsservicehost.exe' --healthcheck
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -File "%TEMP%\f154e83acff043ee8b047f00ccf6c04e.ps1"
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -File "%TEMP%\6d687edb2510465bb37cf4684c6ba421.ps1"
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -File "%TEMP%\f4021e05a5c2463ab557a38643b8ed8d.ps1"

Запускает на исполнение

'<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths" /v "<Текущая директория>\" /t REG_DWORD /d 0 /f
'<SYSTEM32>\icacls.exe' <Текущая директория> /reset /T /C /Q
'<SYSTEM32>\cmd.exe' /c "%TEMP%\rmm_update_457dc2e80d604c989385cfed40f49e20.bat" (со скрытым окном)
'<SYSTEM32>\chcp.com' 65001
'<SYSTEM32>\sc.exe' failure "WindowsServiceHost" reset= 0 actions= ""/""/""
'<SYSTEM32>\sc.exe' stop "WindowsServiceHost"
'<SYSTEM32>\ping.exe' -n 3 127.0.0.1
'<SYSTEM32>\ping.exe' -n 2 127.0.0.1
'<SYSTEM32>\xcopy.exe' "<Текущая директория>\*" "<Текущая директория>.rollback\" /E /Y /Q
'<SYSTEM32>\xcopy.exe' "%TEMP%\rmm_update_090beb7ad1534990b18654a58d4c2f64\*" "<Текущая директория>" /E /Y /Q
'<SYSTEM32>\xcopy.exe' "<Текущая директория>.rollback\*" "<Текущая директория>\" /E /Y /Q
'<SYSTEM32>\sc.exe' failure "WindowsServiceHost" reset= 86400 actions= restart/1000/restart/2000/restart/5000
'<SYSTEM32>\sc.exe' failureflag "WindowsServiceHost" 1
'<SYSTEM32>\sc.exe' start "WindowsServiceHost"
'<SYSTEM32>\cmd.exe' /c "%TEMP%\rmm_update_ca9ef2caa3ae45c9af80302df7ee01f0.bat" (со скрытым окном)
'<SYSTEM32>\xcopy.exe' "%TEMP%\rmm_update_f4f993e408494c098d7e6589758f9603\*" "<Текущая директория>" /E /Y /Q
'<SYSTEM32>\cmd.exe' /c "%TEMP%\rmm_update_251d1c904a284311900e58f80c2661c2.bat" (со скрытым окном)
'<SYSTEM32>\xcopy.exe' "%TEMP%\rmm_update_db92234dd5ae4324bc8f4f2f1fc25719\*" "<Текущая директория>" /E /Y /Q
'<SYSTEM32>\cmd.exe' /c "%TEMP%\rmm_update_d4b4059edb7d4b3c93e977590116a070.bat" (со скрытым окном)
'<SYSTEM32>\xcopy.exe' "%TEMP%\rmm_update_00b9ad59bd8e418b880d1f089f7ce93f\*" "<Текущая директория>" /E /Y /Q
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -File "%TEMP%\473315b3838f4464849189cadb8da1b4.ps1"
'<SYSTEM32>\cmd.exe' /c "%TEMP%\rmm_update_3743d9fe4efe473c9f3aadbb204d52ca.bat" (со скрытым окном)