Trojan.Siggen32.58292

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[HKLM\SYSTEM\CurrentControlSet\Services\wmiApSrv] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\0z5kPi3] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\0z5kPi3] 'ImagePath' = 'cmd /c cd /d "%ProgramFiles(x86)%\keend\qpymacccv\" && start "" "%ProgramFiles(x86)%\keend\qpymacccv\0z5kPi3.exe"'

Создает следующие сервисы

'0z5kPi3' cmd /c cd /d "%ProgramFiles(x86)%\keend\qpymacccv\" && start "" "%ProgramFiles(x86)%\keend\qpymacccv\0z5kPi3.exe"

Вредоносные функции

Для затруднения выявления своего присутствия в системе

добавляет исключения антивируса:

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass Add-MpPreference -ExclusionPath '%ProgramFiles(x86)%\' -Force

Изменения в файловой системе

Создает следующие файлы

%TEMP%\is-3algm.tmp\<Имя файла>.tmp
%TEMP%\is-d4jrc.tmp\_isetup\_regdll.tmp
%TEMP%\is-d4jrc.tmp\_isetup\_setup64.tmp
%TEMP%\is-d4jrc.tmp\_isetup\_shfoldr.dll
C:\users\public\<Имя файла>.exe
%ProgramFiles(x86)%\keend\qpymacccv\is-ce7q8.tmp
%ProgramFiles(x86)%\keend\qpymacccv\is-2si2t.tmp
%ProgramFiles(x86)%\keend\qpymacccv\is-dhdle.tmp
%ProgramFiles(x86)%\keend\qpymacccv\rypyhqw
%WINDIR%\jdcezejq.bat
<SYSTEM32>\jjrxtce
nul
<SYSTEM32>\oayvzvk
%WINDIR%\temp\__psscriptpolicytest_y5q0f20u.at5.ps1
%WINDIR%\temp\__psscriptpolicytest_wwsbilvk.vcp.psm1
%WINDIR%\temp\content\3520-5988-powershell.exe-16-08-38-293.dump
%WINDIR%\temp\content\3520-5988-powershell.exe-16-08-38-720.dump
%WINDIR%\temp\content\3520-5988-powershell.exe-16-08-38-915.dump
%WINDIR%\temp\content\3520-5988-powershell.exe-16-08-39-205.dump
%WINDIR%\temp\content\3520-5988-powershell.exe-16-08-39-294.dump
%WINDIR%\temp\__psscriptpolicytest_hfqfhhrj.hwn.ps1
%WINDIR%\temp\__psscriptpolicytest_xhyy1j2b.uul.psm1
%WINDIR%\temp\content\3520-5988-powershell.exe-16-08-39-790.dump
%WINDIR%\temp\content\3520-5988-powershell.exe-16-08-39-843.dump
%WINDIR%\temp\content\3520-5988-powershell.exe-16-08-39-928.dump
%WINDIR%\temp\content\3520-5988-powershell.exe-16-08-40-098.dump
%WINDIR%\temp\content\3520-5988-powershell.exe-16-08-40-419.dump
%WINDIR%\temp\content\3520-5988-powershell.exe-16-08-40-840.dump
%WINDIR%\temp\content\3520-5988-powershell.exe-16-08-41-099.dump
%WINDIR%\temp\content\3520-5988-powershell.exe-16-08-41-189.dump
%WINDIR%\temp\content\3520-5988-powershell.exe-16-08-41-277.dump
%WINDIR%\temp\content\3520-5988-powershell.exe-16-08-41-332.dump
%WINDIR%\temp\content\3520-5988-powershell.exe-16-08-41-427.dump
%WINDIR%\temp\content\3520-5988-powershell.exe-16-08-41-482.dump
%WINDIR%\temp\content\3520-5988-powershell.exe-16-08-41-540.dump
%WINDIR%\temp\content\3520-5988-powershell.exe-16-08-43-089.dump
%WINDIR%\temp\content\3520-5988-powershell.exe-16-08-43-211.dump
%WINDIR%\temp\content\3520-5988-powershell.exe-16-08-43-265.dump
%WINDIR%\temp\content\3520-5988-powershell.exe-16-08-43-287.dump
%WINDIR%\temp\content\3520-5988-powershell.exe-16-08-43-290.dump
%WINDIR%\temp\content\3520-5988-powershell.exe-16-08-43-380.dump
%WINDIR%\temp\content\3520-5988-powershell.exe-16-08-43-444.dump
%WINDIR%\temp\content\3520-5988-powershell.exe-16-08-43-796.dump
<SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\powershell\startupprofiledata-noninteractive

Удаляет файлы, которые сам же создал

%TEMP%\is-d4jrc.tmp\_isetup\_regdll.tmp
%TEMP%\is-d4jrc.tmp\_isetup\_setup64.tmp
%TEMP%\is-d4jrc.tmp\_isetup\_shfoldr.dll
%TEMP%\is-3algm.tmp\<Имя файла>.tmp
%WINDIR%\temp\__psscriptpolicytest_y5q0f20u.at5.ps1
%WINDIR%\temp\__psscriptpolicytest_wwsbilvk.vcp.psm1
%WINDIR%\temp\__psscriptpolicytest_hfqfhhrj.hwn.ps1
%WINDIR%\temp\__psscriptpolicytest_xhyy1j2b.uul.psm1

Перемещает следующие файлы

%ProgramFiles(x86)%\keend\qpymacccv\is-ce7q8.tmp в %ProgramFiles(x86)%\keend\qpymacccv\3fkuo1.v
%ProgramFiles(x86)%\keend\qpymacccv\is-2si2t.tmp в %ProgramFiles(x86)%\keend\qpymacccv\egk9g08j.w
%ProgramFiles(x86)%\keend\qpymacccv\is-dhdle.tmp в %ProgramFiles(x86)%\keend\qpymacccv\0z5kpi3.exe

Сетевая активность

Подключается к

'27.#24.17.3':7539

Другое

Создает и запускает на исполнение

'%TEMP%\is-3algm.tmp\<Имя файла>.tmp' /SL5="$A0070,8013564,158208,<Полный путь к файлу>"
'%ProgramFiles(x86)%\keend\qpymacccv\0z5kpi3.exe'

Запускает на исполнение

'<SYSTEM32>\wbem\wmiapsrv.exe'
'<SYSTEM32>\cmd.exe' /c "%WINDIR%\JdcezEjQ.bat"
'<SYSTEM32>\applicationframehost.exe'
'<SYSTEM32>\tasklist.exe' /fi "PID eq 1628"
'<SYSTEM32>\findstr.exe' /i "1628"
'<SYSTEM32>\timeout.exe' /t 15
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass Add-MpPreference -ExclusionPath '%ProgramFiles(x86)%\' -Force (со скрытым окном)