Trojan.Siggen32.54759

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'appi' = '"%APPDATA%\Microsoft\Windows\appi\pythonw.exe" "%APPDATA%\Microsoft\Windows\appi\payload.pyc"'
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'appi1' = '"%LOCALAPPDATA%\Microsoft\Windows\appi\pythonw.exe" "%LOCALAPPDATA%\Microsoft\Windows\appi\payload.pyc"'

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\appi
<SYSTEM32>\tasks\appi_watch
<SYSTEM32>\tasks\appi1
<SYSTEM32>\tasks\appi1_watch
%APPDATA%\microsoft\windows\start menu\programs\startup\appi.bat

Вредоносные функции

Для затруднения выявления своего присутствия в системе

добавляет исключения антивируса:

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -NonInteractive -Command "Add-MpPreference -ExclusionPath '%HOMEPATH%\app\appi';Add-MpPreference -ExclusionPath '%APPDATA%\Microsoft\Windows\appi';Add-MpPreference -Exclusio...

Патчит код

в динамической библиотеке AMSI

Процесс pythonw.exe, модуль Amsi.dll

в динамической библиотеке NTDLL

Процесс pythonw.exe, модуль ntdll.dll

Изменения в файловой системе

Создает следующие файлы

%HOMEPATH%\app\run.bat
%HOMEPATH%\app\appi\.sname
%HOMEPATH%\app\appi\guard.pyd
%HOMEPATH%\app\appi\guardian.py
%HOMEPATH%\app\appi\libffi-7.dll
%HOMEPATH%\app\appi\payload.pyc
%HOMEPATH%\app\appi\python.cat
%HOMEPATH%\app\appi\python3.dll
%HOMEPATH%\app\appi\python39.dll
%HOMEPATH%\app\appi\python39.zip
%HOMEPATH%\app\appi\python39._pth
%HOMEPATH%\app\appi\pythonw.exe
%HOMEPATH%\app\appi\select.pyd
%HOMEPATH%\app\appi\test.py
%HOMEPATH%\app\appi\vcruntime140.dll
%HOMEPATH%\app\appi\vcruntime140_1.dll
%HOMEPATH%\app\appi\_ctypes.pyd
%HOMEPATH%\app\appi\_hashlib.pyd
%HOMEPATH%\app\appi\_lzma.pyd
%HOMEPATH%\app\appi\_multiprocessing.pyd
%HOMEPATH%\app\appi\_socket.pyd
%HOMEPATH%\app\appi\_uuid.pyd
%TEMP%\u5fvuqsr
%TEMP%\.payload_main.pid
%APPDATA%\microsoft\windows\appi\.sname
%APPDATA%\microsoft\windows\appi\guard.pyd
%APPDATA%\microsoft\windows\appi\guardian.py
%APPDATA%\microsoft\windows\appi\libffi-7.dll
%APPDATA%\microsoft\windows\appi\payload.pyc
%APPDATA%\microsoft\windows\appi\python.cat
%APPDATA%\microsoft\windows\appi\python3.dll
%APPDATA%\microsoft\windows\appi\python39.dll
%APPDATA%\microsoft\windows\appi\python39.zip
%APPDATA%\microsoft\windows\appi\python39._pth
%APPDATA%\microsoft\windows\appi\pythonw.exe
%APPDATA%\microsoft\windows\appi\select.pyd
%APPDATA%\microsoft\windows\appi\test.py
%APPDATA%\microsoft\windows\appi\vcruntime140.dll
%APPDATA%\microsoft\windows\appi\vcruntime140_1.dll
%APPDATA%\microsoft\windows\appi\_ctypes.pyd
%APPDATA%\microsoft\windows\appi\_hashlib.pyd
%APPDATA%\microsoft\windows\appi\_lzma.pyd
%APPDATA%\microsoft\windows\appi\_multiprocessing.pyd
%APPDATA%\microsoft\windows\appi\_socket.pyd
%APPDATA%\microsoft\windows\appi\_uuid.pyd
%LOCALAPPDATA%\microsoft\windows\appi\.sname
%LOCALAPPDATA%\microsoft\windows\appi\guard.pyd
%LOCALAPPDATA%\microsoft\windows\appi\guardian.py
%LOCALAPPDATA%\microsoft\windows\appi\libffi-7.dll
%LOCALAPPDATA%\microsoft\windows\appi\payload.pyc
%LOCALAPPDATA%\microsoft\windows\appi\python.cat
%LOCALAPPDATA%\microsoft\windows\appi\python3.dll
%LOCALAPPDATA%\microsoft\windows\appi\python39.dll
%LOCALAPPDATA%\microsoft\windows\appi\python39.zip
%LOCALAPPDATA%\microsoft\windows\appi\python39._pth
%LOCALAPPDATA%\microsoft\windows\appi\pythonw.exe
%LOCALAPPDATA%\microsoft\windows\appi\select.pyd
%LOCALAPPDATA%\microsoft\windows\appi\test.py
%LOCALAPPDATA%\microsoft\windows\appi\vcruntime140.dll
%LOCALAPPDATA%\microsoft\windows\appi\vcruntime140_1.dll
%LOCALAPPDATA%\microsoft\windows\appi\_ctypes.pyd
%LOCALAPPDATA%\microsoft\windows\appi\_hashlib.pyd
%LOCALAPPDATA%\microsoft\windows\appi\_lzma.pyd
%LOCALAPPDATA%\microsoft\windows\appi\_multiprocessing.pyd
%LOCALAPPDATA%\microsoft\windows\appi\_socket.pyd
%LOCALAPPDATA%\microsoft\windows\appi\_uuid.pyd
%TEMP%\tmpkm1s8flu.xml
%TEMP%\tmpjjzdh0_t.xml
%TEMP%\_3llh3_w
%TEMP%\.payload_g1.pid
%TEMP%\z6z21wkp
%TEMP%\.payload_g2.pid

Удаляет файлы, которые сам же создал

%TEMP%\u5fvuqsr
%TEMP%\tmpkm1s8flu.xml
%TEMP%\tmpjjzdh0_t.xml
%TEMP%\_3llh3_w
%TEMP%\z6z21wkp

Сетевая активность

Подключается к

'fw##zb.com':8848

UDP

DNS ASK fw##zb.com

Другое

Ищет следующие окна

ClassName: 'Edit' WindowName: ''

Создает и запускает на исполнение

'%HOMEPATH%\app\appi\pythonw.exe' appi\payload.pyc
'%HOMEPATH%\app\appi\pythonw.exe' %HOMEPATH%\app\appi\guardian.py

Запускает на исполнение

'<SYSTEM32>\attrib.exe' +H +S %APPDATA%\Microsoft\Windows\appi
'<SYSTEM32>\attrib.exe' +H +S %LOCALAPPDATA%\Microsoft\Windows\appi
'<SYSTEM32>\schtasks.exe' /Delete /TN appi /F
'<SYSTEM32>\schtasks.exe' /Create /TN appi /TR "\"%APPDATA%\Microsoft\Windows\appi\pythonw.exe\" \"%APPDATA%\Microsoft\Windows\appi\payload.pyc\"" /SC ONLOGON /F
'<SYSTEM32>\schtasks.exe' /Delete /TN appi_watch /F
'<SYSTEM32>\schtasks.exe' /Create /TN appi_watch /XML %TEMP%\tmpkm1s8flu.xml /F
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -NonInteractive -Command "$query = \"SELECT * FROM __InstanceDeletionEvent WITHIN 5 WHERE TargetInstance ISA \"\"Win32_Process\"\" AND TargetInstance.Name = \"\"pythonw.exe\...
'<SYSTEM32>\schtasks.exe' /Delete /TN appi1 /F
'<SYSTEM32>\schtasks.exe' /Create /TN appi1 /TR "\"%LOCALAPPDATA%\Microsoft\Windows\appi\pythonw.exe\" \"%LOCALAPPDATA%\Microsoft\Windows\appi\payload.pyc\"" /SC ONLOGON /F
'<SYSTEM32>\schtasks.exe' /Delete /TN appi1_watch /F
'<SYSTEM32>\schtasks.exe' /Create /TN appi1_watch /XML %TEMP%\tmpjjzdh0_t.xml /F