Trojan.Siggen32.58242

Техническая информация

Вредоносные функции

Запускает на исполнение

'<SYSTEM32>\taskkill.exe' /f /im WindowsServiceHost.exe
'<SYSTEM32>\taskkill.exe' /f /im RMM.Agent.Console.exe
'<SYSTEM32>\taskkill.exe' /f /im "WindowsServiceHost.exe"
'<SYSTEM32>\taskkill.exe' /f /im svcguard.exe

Изменения в файловой системе

Создает следующие файлы

<Текущая директория>\windowsservicehost.exe
%TEMP%\rmm_agent_crash.log
<Текущая директория>\.installed
%TEMP%\rmm_update_70d0f75e9b854015bb621734665f401f.zip
%TEMP%\rmm_update_fa310dd3e25d48d690a91bd54f89fd0e\windowsservicehost.exe
%TEMP%\rmm_update_fa310dd3e25d48d690a91bd54f89fd0e\rmm.agent.console.exe
%TEMP%\rmm_update_fa310dd3e25d48d690a91bd54f89fd0e\appsettings.json
%TEMP%\rmm_update_fa310dd3e25d48d690a91bd54f89fd0e\vcruntime140.dll
<Текущая директория>\.updating
%TEMP%\9ccf97732a6b4dd08d937abae24e5ebf.ps1
%TEMP%\rmm_update_755b1d988b3a44cd8f63bae297d26b4e.bat
nul
<Текущая директория>.rollback\.installed
<Текущая директория>.rollback\.updating
<Текущая директория>.rollback\<Имя файла>.exe
<Текущая директория>.rollback\windowsservicehost.exe
<Текущая директория>\appsettings.json
<Текущая директория>\rmm.agent.console.exe
<Текущая директория>\vcruntime140.dll
%TEMP%\rmm_update_d304774bd9cc480ebb040bb90907ac3f.zip
%TEMP%\rmm_update_ae7267a6a99941d5b1eab0ef683501ca\windowsservicehost.exe
%TEMP%\rmm_update_ae7267a6a99941d5b1eab0ef683501ca\rmm.agent.console.exe
%TEMP%\rmm_update_ae7267a6a99941d5b1eab0ef683501ca\appsettings.json
%TEMP%\rmm_update_ae7267a6a99941d5b1eab0ef683501ca\vcruntime140.dll
%TEMP%\c1150b0ff95d42258eb8b633d180c092.ps1
%TEMP%\rmm_update_357f3caf637849da840fb35c805a0f82.bat
<Текущая директория>.rollback\appsettings.json
<Текущая директория>.rollback\rmm.agent.console.exe
<Текущая директория>.rollback\vcruntime140.dll
%TEMP%\rmm_update_073bc6cafaa94ea0882a08d4d415b1e0.zip
%TEMP%\rmm_update_1111d756644d44579fa9051c8059a46e\windowsservicehost.exe
%TEMP%\rmm_update_1111d756644d44579fa9051c8059a46e\rmm.agent.console.exe
%TEMP%\rmm_update_1111d756644d44579fa9051c8059a46e\appsettings.json
%TEMP%\rmm_update_1111d756644d44579fa9051c8059a46e\vcruntime140.dll
%TEMP%\dc5d67c2f3124f73b5944f4bbe7232d4.ps1
%TEMP%\rmm_update_5ae20322aba24d6f848cbb2d90b64b94.bat
%TEMP%\rmm_update_9d43060df3a44b6eb3ad5f08cddd2a13.zip
%TEMP%\rmm_update_bfabceea14374b3eb78fae82cd82bda1\windowsservicehost.exe
%TEMP%\rmm_update_bfabceea14374b3eb78fae82cd82bda1\rmm.agent.console.exe
%TEMP%\rmm_update_bfabceea14374b3eb78fae82cd82bda1\appsettings.json
%TEMP%\rmm_update_bfabceea14374b3eb78fae82cd82bda1\vcruntime140.dll
%TEMP%\35aabc7d979d4422b1b57ac490cbea65.ps1

Удаляет файлы, которые сам же создал

%TEMP%\9ccf97732a6b4dd08d937abae24e5ebf.ps1
%TEMP%\c1150b0ff95d42258eb8b633d180c092.ps1
%TEMP%\dc5d67c2f3124f73b5944f4bbe7232d4.ps1
%TEMP%\35aabc7d979d4422b1b57ac490cbea65.ps1

Сетевая активность

Подключается к

'x1.#.lencr.org':80

TCP

Запросы HTTP GET

http://x1.#.lencr.org/

Другие

'st####galaktika.com':443
'ap#.#pify.org':443

UDP

DNS ASK st####galaktika.com
DNS ASK x1.#.lencr.org
DNS ASK ap#.#pify.org

Другое

Ищет следующие окна

ClassName: '' WindowName: ''

Создает и запускает на исполнение

'<Текущая директория>\windowsservicehost.exe' --silent --force
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -File "%TEMP%\9ccf97732a6b4dd08d937abae24e5ebf.ps1"
'<Текущая директория>\windowsservicehost.exe' --healthcheck
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -File "%TEMP%\c1150b0ff95d42258eb8b633d180c092.ps1"
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -File "%TEMP%\dc5d67c2f3124f73b5944f4bbe7232d4.ps1"
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -File "%TEMP%\35aabc7d979d4422b1b57ac490cbea65.ps1"

Запускает на исполнение

'<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths" /v "<Текущая директория>\" /t REG_DWORD /d 0 /f
'<SYSTEM32>\icacls.exe' <Текущая директория> /reset /T /C /Q
'<SYSTEM32>\cmd.exe' /c "%TEMP%\rmm_update_755b1d988b3a44cd8f63bae297d26b4e.bat" (со скрытым окном)
'<SYSTEM32>\chcp.com' 65001
'<SYSTEM32>\sc.exe' failure "WindowsServiceHost" reset= 0 actions= ""/""/""
'<SYSTEM32>\sc.exe' stop "WindowsServiceHost"
'<SYSTEM32>\ping.exe' -n 3 127.0.0.1
'<SYSTEM32>\ping.exe' -n 2 127.0.0.1
'<SYSTEM32>\xcopy.exe' "<Текущая директория>\*" "<Текущая директория>.rollback\" /E /Y /Q
'<SYSTEM32>\xcopy.exe' "%TEMP%\rmm_update_fa310dd3e25d48d690a91bd54f89fd0e\*" "<Текущая директория>" /E /Y /Q
'<SYSTEM32>\xcopy.exe' "<Текущая директория>.rollback\*" "<Текущая директория>\" /E /Y /Q
'<SYSTEM32>\sc.exe' failure "WindowsServiceHost" reset= 86400 actions= restart/1000/restart/2000/restart/5000
'<SYSTEM32>\sc.exe' failureflag "WindowsServiceHost" 1
'<SYSTEM32>\sc.exe' start "WindowsServiceHost"
'<SYSTEM32>\cmd.exe' /c "%TEMP%\rmm_update_357f3caf637849da840fb35c805a0f82.bat" (со скрытым окном)
'<SYSTEM32>\xcopy.exe' "%TEMP%\rmm_update_ae7267a6a99941d5b1eab0ef683501ca\*" "<Текущая директория>" /E /Y /Q
'<SYSTEM32>\cmd.exe' /c "%TEMP%\rmm_update_5ae20322aba24d6f848cbb2d90b64b94.bat" (со скрытым окном)
'<SYSTEM32>\xcopy.exe' "%TEMP%\rmm_update_1111d756644d44579fa9051c8059a46e\*" "<Текущая директория>" /E /Y /Q
'<SYSTEM32>\cmd.exe' /c "%TEMP%\rmm_update_9e2a94a427c2423bacac1a847727f8ba.bat" (со скрытым окном)
'<SYSTEM32>\xcopy.exe' "%TEMP%\rmm_update_bfabceea14374b3eb78fae82cd82bda1\*" "<Текущая директория>" /E /Y /Q