Trojan.Siggen32.58353

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'MicrosoftEdgeUpdate' = '%LOCALAPPDATA%\Microsoft\Windows\MicrosoftEdgeUpdate.exe'

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\microsoftedgeupdatecore

Вредоносные функции

Для затруднения выявления своего присутствия в системе

добавляет исключения антивируса:

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -NonInteractive -Command "Add-MpPreference -ExclusionPath '%LOCALAPPDATA%\Microsoft\Windows\MicrosoftEdgeUpdate.exe'"

Изменения в файловой системе

Создает следующие файлы

%TEMP%\rarsfx0\runtimebroker.exe
%TEMP%\rarsfx0\winrar_setup.exe
%TEMP%\rarsfx0\tor\readme.txt
%TEMP%\rarsfx0\tor\tor-expert-bundle-windows-x86_64-15.0.14\data\cached-certs
%TEMP%\rarsfx0\tor\tor-expert-bundle-windows-x86_64-15.0.14\data\cached-microdesc-consensus
%TEMP%\rarsfx0\tor\tor-expert-bundle-windows-x86_64-15.0.14\data\cached-microdescs.new
%TEMP%\rarsfx0\tor\tor-expert-bundle-windows-x86_64-15.0.14\data\geoip
%TEMP%\rarsfx0\tor\tor-expert-bundle-windows-x86_64-15.0.14\data\geoip6
%TEMP%\rarsfx0\tor\tor-expert-bundle-windows-x86_64-15.0.14\data\state
%TEMP%\rarsfx0\tor\tor-expert-bundle-windows-x86_64-15.0.14\data\torrc-defaults
%TEMP%\rarsfx0\tor\tor-expert-bundle-windows-x86_64-15.0.14\tor\tor.exe
%TEMP%\rarsfx0\redist\readme.txt
%TEMP%\rarsfx0\redist\tor-expert-bundle-windows-x86_64-15.0.14\data\cached-certs
%TEMP%\rarsfx0\redist\tor-expert-bundle-windows-x86_64-15.0.14\data\cached-microdesc-consensus
%TEMP%\rarsfx0\redist\tor-expert-bundle-windows-x86_64-15.0.14\data\cached-microdescs.new
%TEMP%\rarsfx0\redist\tor-expert-bundle-windows-x86_64-15.0.14\data\geoip
%TEMP%\rarsfx0\redist\tor-expert-bundle-windows-x86_64-15.0.14\data\geoip6
%TEMP%\rarsfx0\redist\tor-expert-bundle-windows-x86_64-15.0.14\data\state
%TEMP%\rarsfx0\redist\tor-expert-bundle-windows-x86_64-15.0.14\data\torrc-defaults
%TEMP%\rarsfx0\redist\tor-expert-bundle-windows-x86_64-15.0.14\tor\tor.exe
%LOCALAPPDATA%\microsoft\windows\microsoftedgeupdate.exe
%LOCALAPPDATA%\microsoft\windows\tor\readme.txt
%LOCALAPPDATA%\microsoft\windows\tor\tor-expert-bundle-windows-x86_64-15.0.14\data\cached-certs
%LOCALAPPDATA%\microsoft\windows\tor\tor-expert-bundle-windows-x86_64-15.0.14\data\cached-microdesc-consensus
%LOCALAPPDATA%\microsoft\windows\tor\tor-expert-bundle-windows-x86_64-15.0.14\data\cached-microdescs.new
%LOCALAPPDATA%\microsoft\windows\tor\tor-expert-bundle-windows-x86_64-15.0.14\data\geoip
%LOCALAPPDATA%\microsoft\windows\tor\tor-expert-bundle-windows-x86_64-15.0.14\data\geoip6
%LOCALAPPDATA%\microsoft\windows\tor\tor-expert-bundle-windows-x86_64-15.0.14\data\state
%LOCALAPPDATA%\microsoft\windows\tor\tor-expert-bundle-windows-x86_64-15.0.14\data\torrc-defaults
%LOCALAPPDATA%\microsoft\windows\tor\tor-expert-bundle-windows-x86_64-15.0.14\tor\tor.exe
%TEMP%\dllhost.exe
%LOCALAPPDATA%\microsoft\windows\tor\tor-expert-bundle-windows-x86_64-15.0.14\data\cached-microdescs.tmp
%LOCALAPPDATA%\microsoft\windows\tor\tor-expert-bundle-windows-x86_64-15.0.14\data\state.tmp

Присваивает атрибут 'скрытый' для следующих файлов

%LOCALAPPDATA%\microsoft\windows\microsoftedgeupdate.exe

Удаляет файлы, которые сам же создал

%LOCALAPPDATA%\microsoft\windows\tor\tor-expert-bundle-windows-x86_64-15.0.14\data\cached-microdescs.new
%LOCALAPPDATA%\microsoft\windows\tor\tor-expert-bundle-windows-x86_64-15.0.14\data\state

Перемещает следующие файлы

%LOCALAPPDATA%\microsoft\windows\tor\tor-expert-bundle-windows-x86_64-15.0.14\data\cached-microdescs.tmp в %LOCALAPPDATA%\microsoft\windows\tor\tor-expert-bundle-windows-x86_64-15.0.14\data\cached-microdescs

Подменяет следующие файлы

%LOCALAPPDATA%\microsoft\windows\tor\tor-expert-bundle-windows-x86_64-15.0.14\data\state

Сетевая активность

Подключается к

'localhost':49696
'localhost':49699
'17#.#0.55.182':19006
'51.##.123.207':9001
'23.##9.64.190':443
'15#.#42.132.107':9001
'21#.#18.219.41':443
'17#.#49.215.216':9001
'89.#8.5.0':587
'21#.#96.147.77':443
'64.#5.63.80':443
'17#.#5.193.20':9001
'45.#.60.140':9001
'45.##8.16.107':9100

Другое

Ищет следующие окна

ClassName: 'Edit' WindowName: ''
ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebCheckMonitor' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\rarsfx0\runtimebroker.exe'
'%LOCALAPPDATA%\microsoft\windows\microsoftedgeupdate.exe'
'%TEMP%\rarsfx0\winrar_setup.exe'
'%TEMP%\dllhost.exe' --SocksPort 9151 --DataDirectory %LOCALAPPDATA%\Microsoft\Windows\tor/tor-expert-bundle-windows-x86_64-15.0.14/data --Log "notice stdout"

Запускает на исполнение