Trojan.Siggen32.46359

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKLM\Software\WOW6432Node\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'MHelper' = '%WINDIR%\MHelper.exe'

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\winupdate_login
<SYSTEM32>\tasks\winupdate

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует:

Средство контроля пользовательских учетных записей (UAC)

изменяет следующие системные настройки:

Изменяет DNS-сервер на '<DNS_SERVER>'
Изменяет DNS-сервер на '103.1.249.209'

Изменения в файловой системе

Создает следующие файлы

%LOCALAPPDATA%\microsoft\windows\actioncentercache\windows-systemtoast-securityandmaintenance_10_0.png
%WINDIR%\machineid.db
%WINDIR%\gmon.dll
%WINDIR%\mmc.upt
%WINDIR%\initial.dll
%WINDIR%\vmprotectsdk32.dll

Сетевая активность

Подключается к

'or###.kro.kr':80
'10#.#.249.209':20001
'10#.#.249.40':6200

TCP

Запросы HTTP GET

http://or###.kro.kr/

Другие

'<DNS_SERVER>':53

UDP

DNS ASK or###.kro.kr
DNS ASK microsoft.com
'10#.#.249.209':7001

Другое

Ищет следующие окна

ClassName: '' WindowName: '한게임 로우바둑이'
ClassName: '' WindowName: '한게임 7포커'
ClassName: '' WindowName: '한게임 라스베가스 포커'
ClassName: '' WindowName: '하이로우2'
ClassName: '' WindowName: '한게임 맞포커'
ClassName: '' WindowName: '한게임 파티훌라'
ClassName: '' WindowName: '피망 로우바둑이'
ClassName: '' WindowName: '피망 7포커'
ClassName: '' WindowName: '피망 뉴포커'
ClassName: '' WindowName: '피망 하이로우'
ClassName: '' WindowName: '피망 훌라'
ClassName: '' WindowName: '피망 맞고'
ClassName: '' WindowName: '피망 뉴맞고'
ClassName: '' WindowName: '피망 섯다'
ClassName: '' WindowName: '피망 고스톱'
ClassName: '' WindowName: '넷마블 7포커'
ClassName: '' WindowName: '넷마블 로우바둑이'
ClassName: '' WindowName: '넷마블 뉴포커'
ClassName: '' WindowName: '넷마블 하이로우'
ClassName: '' WindowName: '넷마블 섯다'
ClassName: '' WindowName: '넷마블 훌라'
ClassName: '' WindowName: '게임 클라이언트'
ClassName: 'CXG_WNDCLASS' WindowName: ''
ClassName: '' WindowName: '홀덤'
ClassName: '' WindowName: '선파워 홀덤'
ClassName: '' WindowName: '바둑이게임'
ClassName: '' WindowName: '포커게임'
ClassName: '' WindowName: '맞고게임'
ClassName: '' WindowName: 'NEW VONGVONG BADUKI'
ClassName: '' WindowName: 'NEW VONGVONG MATGO'
ClassName: '' WindowName: 'Baduki'
ClassName: '' WindowName: 'PlusPoker'
ClassName: '' WindowName: 'Matgo'
ClassName: '' WindowName: '쓰리랑게임'
ClassName: '' WindowName: '올스타즈 게임'
ClassName: '' WindowName: '로우 바둑이'
ClassName: '' WindowName: '맞고'
ClassName: '' WindowName: '포커'
ClassName: '' WindowName: '팟스타게임 대기실'
ClassName: '' WindowName: '레이스게임'
ClassName: 'IEFrame' WindowName: ''

Запускает на исполнение

'%WINDIR%\syswow64\schtasks.exe' /delete /tn winupdate_login /F (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /create /tn winupdate_login /RL HIGHEST /sc onlogon /f /tr "rundll32.exe %WINDIR%\mmc.upt,RunService" (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /delete /tn winupdate /F (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /create /tn winupdate /RL HIGHEST /sc minute /mo 5 /f /tr "rundll32.exe %WINDIR%\mmc.upt,RunService" (со скрытым окном)
'%WINDIR%\syswow64\rundll32.exe' %WINDIR%\mmc.upt,RunService (со скрытым окном)
'%WINDIR%\syswow64\netsh.exe' interface ip set dns "Ethernet 2" static 8.#.8.8 PRIMARY (со скрытым окном)
'%WINDIR%\syswow64\netsh.exe' interface ip add dns "Ethernet 2" 8.#.4.4 2 (со скрытым окном)
'%WINDIR%\syswow64\netsh.exe' interface ip add dns "Ethernet 2" 10#.#.249.209 3 (со скрытым окном)