Trojan.Siggen32.46228

Техническая информация

Вредоносные функции

Запускает на исполнение

'<SYSTEM32>\taskkill.exe' /f /im WindowsServiceHost.exe
'<SYSTEM32>\taskkill.exe' /f /im RMM.Agent.Console.exe
'<SYSTEM32>\taskkill.exe' /f /im "WindowsServiceHost.exe"
'<SYSTEM32>\taskkill.exe' /f /im svcguard.exe

Завершает или пытается завершить

следующие системные процессы:

<SYSTEM32>\windowspowershell\v1.0\powershell.exe

Изменения в файловой системе

Создает следующие файлы

<Текущая директория>\windowsservicehost.exe
%TEMP%\rmm_agent_crash.log
<Текущая директория>\.installed
%TEMP%\rmm_update_7982c0d255034092949d0db2e4f2b42e.zip
%TEMP%\rmm_update_5084a69ad2f34b638db7765e83ffbe4f\windowsservicehost.exe
%TEMP%\rmm_update_5084a69ad2f34b638db7765e83ffbe4f\rmm.agent.console.exe
%TEMP%\rmm_update_5084a69ad2f34b638db7765e83ffbe4f\appsettings.json
%TEMP%\rmm_update_5084a69ad2f34b638db7765e83ffbe4f\vcruntime140.dll
<Текущая директория>\.updating
%TEMP%\88c537feb691432b980de8c79cdb5f47.ps1
%TEMP%\rmm_update_107e74da939c479291c1fa36a824f836.bat
nul
<Текущая директория>.rollback\.installed
<Текущая директория>.rollback\.updating
<Текущая директория>.rollback\<Имя файла>.exe
<Текущая директория>.rollback\windowsservicehost.exe
<Текущая директория>\appsettings.json
<Текущая директория>\rmm.agent.console.exe
<Текущая директория>\vcruntime140.dll
%TEMP%\rmm_update_c928fb8927ec41f7b401370f28c6e8c9.zip
%TEMP%\rmm_update_0680b296b2e64ba7a5940fe4a9697c4c\windowsservicehost.exe
%TEMP%\rmm_update_0680b296b2e64ba7a5940fe4a9697c4c\rmm.agent.console.exe
%TEMP%\rmm_update_0680b296b2e64ba7a5940fe4a9697c4c\appsettings.json
%TEMP%\rmm_update_0680b296b2e64ba7a5940fe4a9697c4c\vcruntime140.dll
%TEMP%\5484f0cbdb424e8dabee819efadb1a3f.ps1
%TEMP%\rmm_update_1bcdee0a954048fdbe3848ead418e910.bat
<Текущая директория>.rollback\appsettings.json
<Текущая директория>.rollback\rmm.agent.console.exe
<Текущая директория>.rollback\vcruntime140.dll
%TEMP%\rmm_update_3c090f1f978e4e688f08d6216ad0d044.zip
%TEMP%\rmm_update_ba2130a909d847c0996fea3c171718e4\windowsservicehost.exe
%TEMP%\rmm_update_ba2130a909d847c0996fea3c171718e4\rmm.agent.console.exe
%TEMP%\rmm_update_ba2130a909d847c0996fea3c171718e4\appsettings.json
%TEMP%\rmm_update_ba2130a909d847c0996fea3c171718e4\vcruntime140.dll
%TEMP%\ff449b4de2a94fe580abb7a1de39c751.ps1
%TEMP%\rmm_update_5a6d6c91768746c288f676607ee8dbe3.bat
%TEMP%\rmm_update_08d99403f99f4adabec996b2f4e49ee9.zip
%TEMP%\rmm_update_4ea548a6691f46a6a544bbc9c11f3a26\windowsservicehost.exe
%TEMP%\rmm_update_4ea548a6691f46a6a544bbc9c11f3a26\rmm.agent.console.exe
%TEMP%\rmm_update_4ea548a6691f46a6a544bbc9c11f3a26\appsettings.json
%TEMP%\rmm_update_4ea548a6691f46a6a544bbc9c11f3a26\vcruntime140.dll
%TEMP%\15d195498e8e41818adab06995a7c473.ps1

Удаляет файлы, которые сам же создал

%TEMP%\88c537feb691432b980de8c79cdb5f47.ps1
%TEMP%\5484f0cbdb424e8dabee819efadb1a3f.ps1
%TEMP%\ff449b4de2a94fe580abb7a1de39c751.ps1
%TEMP%\15d195498e8e41818adab06995a7c473.ps1

Сетевая активность

Подключается к

'x1.#.lencr.org':80

TCP

Запросы HTTP GET

http://x1.#.lencr.org/

Другие

'st####galaktika.com':443
'ap#.#pify.org':443

UDP

DNS ASK st####galaktika.com
DNS ASK x1.#.lencr.org
DNS ASK ap#.#pify.org

Другое

Ищет следующие окна

ClassName: '' WindowName: ''

Создает и запускает на исполнение

'<Текущая директория>\windowsservicehost.exe' --silent --force
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -File "%TEMP%\88c537feb691432b980de8c79cdb5f47.ps1"
'<Текущая директория>\windowsservicehost.exe' --healthcheck
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -File "%TEMP%\5484f0cbdb424e8dabee819efadb1a3f.ps1"
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -File "%TEMP%\ff449b4de2a94fe580abb7a1de39c751.ps1"
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -File "%TEMP%\15d195498e8e41818adab06995a7c473.ps1"

Запускает на исполнение

'<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths" /v "<Текущая директория>\" /t REG_DWORD /d 0 /f
'<SYSTEM32>\icacls.exe' <Текущая директория> /reset /T /C /Q
'<SYSTEM32>\cmd.exe' /c "%TEMP%\rmm_update_107e74da939c479291c1fa36a824f836.bat" (со скрытым окном)
'<SYSTEM32>\chcp.com' 65001
'<SYSTEM32>\sc.exe' failure "WindowsServiceHost" reset= 0 actions= ""/""/""
'<SYSTEM32>\sc.exe' stop "WindowsServiceHost"
'<SYSTEM32>\ping.exe' -n 3 127.0.0.1
'<SYSTEM32>\ping.exe' -n 2 127.0.0.1
'<SYSTEM32>\xcopy.exe' "<Текущая директория>\*" "<Текущая директория>.rollback\" /E /Y /Q
'<SYSTEM32>\xcopy.exe' "%TEMP%\rmm_update_5084a69ad2f34b638db7765e83ffbe4f\*" "<Текущая директория>" /E /Y /Q
'<SYSTEM32>\xcopy.exe' "<Текущая директория>.rollback\*" "<Текущая директория>\" /E /Y /Q
'<SYSTEM32>\sc.exe' failure "WindowsServiceHost" reset= 86400 actions= restart/1000/restart/2000/restart/5000
'<SYSTEM32>\sc.exe' failureflag "WindowsServiceHost" 1
'<SYSTEM32>\sc.exe' start "WindowsServiceHost"
'<SYSTEM32>\cmd.exe' /c "%TEMP%\rmm_update_1bcdee0a954048fdbe3848ead418e910.bat" (со скрытым окном)
'<SYSTEM32>\xcopy.exe' "%TEMP%\rmm_update_0680b296b2e64ba7a5940fe4a9697c4c\*" "<Текущая директория>" /E /Y /Q
'<SYSTEM32>\cmd.exe' /c "%TEMP%\rmm_update_5a6d6c91768746c288f676607ee8dbe3.bat" (со скрытым окном)
'<SYSTEM32>\xcopy.exe' "%TEMP%\rmm_update_ba2130a909d847c0996fea3c171718e4\*" "<Текущая директория>" /E /Y /Q
'<SYSTEM32>\cmd.exe' /c "%TEMP%\rmm_update_0b63619101c749848391050986d34e56.bat" (со скрытым окном)
'<SYSTEM32>\xcopy.exe' "%TEMP%\rmm_update_4ea548a6691f46a6a544bbc9c11f3a26\*" "<Текущая директория>" /E /Y /Q