Trojan.Siggen32.58298

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'RustDeskLauncher' = '<Полный путь к файлу>'

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\rustdesklauncher
%APPDATA%\microsoft\windows\start menu\programs\startup\rustdesklauncher.bat

Вредоносные функции

Запускает на исполнение

'<SYSTEM32>\taskkill.exe' /F /PID 3140

Патчит код

в динамической библиотеке NTDLL

Процесс nfkgwn.exe, модуль ntdll.dll

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: 'FilemonClass', WindowName: ''
ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
ClassName: 'RegmonClass', WindowName: ''

Изменения в файловой системе

Создает следующие файлы

%TEMP%\_mei31402\vcruntime140.dll
%TEMP%\_mei31402\vcruntime140_1.dll
%TEMP%\_mei31402\_bz2.pyd
%TEMP%\_mei31402\_ctypes.pyd
%TEMP%\_mei31402\_decimal.pyd
%TEMP%\_mei31402\_hashlib.pyd
%TEMP%\_mei31402\_lzma.pyd
%TEMP%\_mei31402\_socket.pyd
%TEMP%\_mei31402\_ssl.pyd
%TEMP%\_mei31402\_uuid.pyd
%TEMP%\_mei31402\_wmi.pyd
%TEMP%\_mei31402\api-ms-win-core-console-l1-1-0.dll
%TEMP%\_mei31402\api-ms-win-core-datetime-l1-1-0.dll
%TEMP%\_mei31402\api-ms-win-core-debug-l1-1-0.dll
%TEMP%\_mei31402\api-ms-win-core-errorhandling-l1-1-0.dll
%TEMP%\_mei31402\api-ms-win-core-fibers-l1-1-0.dll
%TEMP%\_mei31402\api-ms-win-core-file-l1-1-0.dll
%TEMP%\_mei31402\api-ms-win-core-file-l1-2-0.dll
%TEMP%\_mei31402\api-ms-win-core-file-l2-1-0.dll
%TEMP%\_mei31402\api-ms-win-core-handle-l1-1-0.dll
%TEMP%\_mei31402\api-ms-win-core-heap-l1-1-0.dll
%TEMP%\_mei31402\api-ms-win-core-interlocked-l1-1-0.dll
%TEMP%\_mei31402\api-ms-win-core-libraryloader-l1-1-0.dll
%TEMP%\_mei31402\api-ms-win-core-localization-l1-2-0.dll
%TEMP%\_mei31402\api-ms-win-core-memory-l1-1-0.dll
%TEMP%\_mei31402\api-ms-win-core-namedpipe-l1-1-0.dll
%TEMP%\_mei31402\api-ms-win-core-processenvironment-l1-1-0.dll
%TEMP%\_mei31402\api-ms-win-core-processthreads-l1-1-0.dll
%TEMP%\_mei31402\api-ms-win-core-processthreads-l1-1-1.dll
%TEMP%\_mei31402\api-ms-win-core-profile-l1-1-0.dll
%TEMP%\_mei31402\api-ms-win-core-rtlsupport-l1-1-0.dll
%TEMP%\_mei31402\api-ms-win-core-string-l1-1-0.dll
%TEMP%\_mei31402\api-ms-win-core-synch-l1-1-0.dll
%TEMP%\_mei31402\api-ms-win-core-synch-l1-2-0.dll
%TEMP%\_mei31402\api-ms-win-core-sysinfo-l1-1-0.dll
%TEMP%\_mei31402\api-ms-win-core-timezone-l1-1-0.dll
%TEMP%\_mei31402\api-ms-win-core-util-l1-1-0.dll
%TEMP%\_mei31402\api-ms-win-crt-conio-l1-1-0.dll
%TEMP%\_mei31402\api-ms-win-crt-convert-l1-1-0.dll
%TEMP%\_mei31402\api-ms-win-crt-environment-l1-1-0.dll
%TEMP%\_mei31402\api-ms-win-crt-filesystem-l1-1-0.dll
%TEMP%\_mei31402\api-ms-win-crt-heap-l1-1-0.dll
%TEMP%\_mei31402\api-ms-win-crt-locale-l1-1-0.dll
%TEMP%\_mei31402\api-ms-win-crt-math-l1-1-0.dll
%TEMP%\_mei31402\api-ms-win-crt-process-l1-1-0.dll
%TEMP%\_mei31402\api-ms-win-crt-runtime-l1-1-0.dll
%TEMP%\_mei31402\api-ms-win-crt-stdio-l1-1-0.dll
%TEMP%\_mei31402\api-ms-win-crt-string-l1-1-0.dll
%TEMP%\_mei31402\api-ms-win-crt-time-l1-1-0.dll
%TEMP%\_mei31402\api-ms-win-crt-utility-l1-1-0.dll
%TEMP%\_mei31402\base_library.zip
%TEMP%\_mei31402\libcrypto-3.dll
%TEMP%\_mei31402\libffi-8.dll
%TEMP%\_mei31402\libssl-3.dll
%TEMP%\_mei31402\python312.dll
%TEMP%\_mei31402\select.pyd
%TEMP%\_mei31402\ucrtbase.dll
%TEMP%\_mei31402\unicodedata.pyd
nul

Сетевая активность

Подключается к

'20#.#9.191.186':8765

UDP

DNS ASK ip##pi.com

Другое

Ищет следующие окна

ClassName: 'File Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
ClassName: 'Process Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
ClassName: 'Registry Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
ClassName: '18467-41' WindowName: ''
ClassName: '' WindowName: ''

Перезапускает анализируемый образец

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c "tasklist /FI "IMAGENAME eq <Имя файла>.exe" /FO CSV /NH" (со скрытым окном)
'<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq <Имя файла>.exe" /FO CSV /NH
'<SYSTEM32>\cmd.exe' /c "taskkill /F /PID 3140" (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /Delete /TN RustDeskLauncher /F
'<SYSTEM32>\schtasks.exe' /Create /TN RustDeskLauncher /TR \"<Полный путь к файлу>\" /SC ONLOGON /RU user /RL HIGHEST /F
'<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq rustdesk.exe"