Trojan.Siggen32.59164

Техническая информация

Вредоносные функции

Запускает на исполнение

'<SYSTEM32>\taskkill.exe' /f /im WindowsServiceHost.exe
'<SYSTEM32>\taskkill.exe' /f /im RMM.Agent.Console.exe
'<SYSTEM32>\taskkill.exe' /f /im "WindowsServiceHost.exe"
'<SYSTEM32>\taskkill.exe' /f /im svcguard.exe

Изменения в файловой системе

Создает следующие файлы

<Текущая директория>\windowsservicehost.exe
%TEMP%\rmm_agent_crash.log
<Текущая директория>\.installed
%TEMP%\rmm_update_ddc3fef855db4cb190c19f4f8a81ed9a.zip
%TEMP%\rmm_update_2fa878f033544fee87f2c90c4bd3f1dd\windowsservicehost.exe
%TEMP%\rmm_update_2fa878f033544fee87f2c90c4bd3f1dd\rmm.agent.console.exe
%TEMP%\rmm_update_2fa878f033544fee87f2c90c4bd3f1dd\appsettings.json
%TEMP%\rmm_update_2fa878f033544fee87f2c90c4bd3f1dd\vcruntime140.dll
<Текущая директория>\.updating
%TEMP%\6864b95102354f789798a4aa008741c6.ps1
%TEMP%\rmm_update_d79f90b24c9e4841865070545c87c733.bat
nul
<Текущая директория>.rollback\.installed
<Текущая директория>.rollback\.updating
<Текущая директория>.rollback\<Имя файла>.exe
<Текущая директория>.rollback\windowsservicehost.exe
<Текущая директория>\appsettings.json
<Текущая директория>\rmm.agent.console.exe
<Текущая директория>\vcruntime140.dll
%TEMP%\rmm_update_8d7b54380a9343f0bd2da66641111bb4.zip
%TEMP%\rmm_update_bb6129be9e2146428425b3863aa68e25\windowsservicehost.exe
%TEMP%\rmm_update_bb6129be9e2146428425b3863aa68e25\rmm.agent.console.exe
%TEMP%\rmm_update_bb6129be9e2146428425b3863aa68e25\appsettings.json
%TEMP%\rmm_update_bb6129be9e2146428425b3863aa68e25\vcruntime140.dll
%TEMP%\5bab032a325640e4b3f1e02d2235646d.ps1
%TEMP%\rmm_update_2ec2e659a5244b179c00605ad1563459.bat
<Текущая директория>.rollback\appsettings.json
<Текущая директория>.rollback\rmm.agent.console.exe
<Текущая директория>.rollback\vcruntime140.dll
%TEMP%\rmm_update_3e377efff9d14664b2dd4a6ab7baff98.zip
%TEMP%\rmm_update_9cac530d2d6e44829c5e5d4d5e6f73dd\windowsservicehost.exe
%TEMP%\rmm_update_9cac530d2d6e44829c5e5d4d5e6f73dd\rmm.agent.console.exe
%TEMP%\rmm_update_9cac530d2d6e44829c5e5d4d5e6f73dd\appsettings.json
%TEMP%\rmm_update_9cac530d2d6e44829c5e5d4d5e6f73dd\vcruntime140.dll
%TEMP%\004a943f612a48cdb13a16e808304f79.ps1
%TEMP%\rmm_update_0e63a04380b84945951b575f42fe7abf.bat
%TEMP%\rmm_update_64f1d6dcc1ad4973b4fd845920494d31.zip
%TEMP%\rmm_update_66ed86f0cdb441dca8f254147a234951\windowsservicehost.exe
%TEMP%\rmm_update_66ed86f0cdb441dca8f254147a234951\rmm.agent.console.exe
%TEMP%\rmm_update_66ed86f0cdb441dca8f254147a234951\appsettings.json
%TEMP%\rmm_update_66ed86f0cdb441dca8f254147a234951\vcruntime140.dll
%TEMP%\8569b19d060c44a79ba0db9ca57d4bd2.ps1
%TEMP%\rmm_update_8b252c9ec5c942059f2c6990c5f6294b.bat

Удаляет файлы, которые сам же создал

%TEMP%\6864b95102354f789798a4aa008741c6.ps1
%TEMP%\5bab032a325640e4b3f1e02d2235646d.ps1
%TEMP%\004a943f612a48cdb13a16e808304f79.ps1
%TEMP%\8569b19d060c44a79ba0db9ca57d4bd2.ps1

Сетевая активность

Подключается к

'x1.#.lencr.org':80

TCP

Запросы HTTP GET

http://x1.#.lencr.org/

Другие

'st####galaktika.com':443
'ap#.#pify.org':443

UDP

DNS ASK st####galaktika.com
DNS ASK x1.#.lencr.org
DNS ASK ap#.#pify.org

Другое

Ищет следующие окна

ClassName: '' WindowName: ''

Создает и запускает на исполнение

'<Текущая директория>\windowsservicehost.exe' --silent --force
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -File "%TEMP%\6864b95102354f789798a4aa008741c6.ps1"
'<Текущая директория>\windowsservicehost.exe' --healthcheck
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -File "%TEMP%\5bab032a325640e4b3f1e02d2235646d.ps1"
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -File "%TEMP%\004a943f612a48cdb13a16e808304f79.ps1"
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -File "%TEMP%\8569b19d060c44a79ba0db9ca57d4bd2.ps1"

Запускает на исполнение

'<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths" /v "<Текущая директория>\" /t REG_DWORD /d 0 /f
'<SYSTEM32>\icacls.exe' <Текущая директория> /reset /T /C /Q
'<SYSTEM32>\cmd.exe' /c "%TEMP%\rmm_update_d79f90b24c9e4841865070545c87c733.bat" (со скрытым окном)
'<SYSTEM32>\chcp.com' 65001
'<SYSTEM32>\sc.exe' failure "WindowsServiceHost" reset= 0 actions= ""/""/""
'<SYSTEM32>\sc.exe' stop "WindowsServiceHost"
'<SYSTEM32>\ping.exe' -n 3 127.0.0.1
'<SYSTEM32>\ping.exe' -n 2 127.0.0.1
'<SYSTEM32>\xcopy.exe' "<Текущая директория>\*" "<Текущая директория>.rollback\" /E /Y /Q
'<SYSTEM32>\xcopy.exe' "%TEMP%\rmm_update_2fa878f033544fee87f2c90c4bd3f1dd\*" "<Текущая директория>" /E /Y /Q
'<SYSTEM32>\xcopy.exe' "<Текущая директория>.rollback\*" "<Текущая директория>\" /E /Y /Q
'<SYSTEM32>\sc.exe' failure "WindowsServiceHost" reset= 86400 actions= restart/1000/restart/2000/restart/5000
'<SYSTEM32>\sc.exe' failureflag "WindowsServiceHost" 1
'<SYSTEM32>\sc.exe' start "WindowsServiceHost"
'<SYSTEM32>\cmd.exe' /c "%TEMP%\rmm_update_2ec2e659a5244b179c00605ad1563459.bat" (со скрытым окном)
'<SYSTEM32>\xcopy.exe' "%TEMP%\rmm_update_bb6129be9e2146428425b3863aa68e25\*" "<Текущая директория>" /E /Y /Q
'<SYSTEM32>\cmd.exe' /c "%TEMP%\rmm_update_0e63a04380b84945951b575f42fe7abf.bat" (со скрытым окном)
'<SYSTEM32>\xcopy.exe' "%TEMP%\rmm_update_9cac530d2d6e44829c5e5d4d5e6f73dd\*" "<Текущая директория>" /E /Y /Q
'<SYSTEM32>\cmd.exe' /c "%TEMP%\rmm_update_8b252c9ec5c942059f2c6990c5f6294b.bat" (со скрытым окном)
'<SYSTEM32>\xcopy.exe' "%TEMP%\rmm_update_66ed86f0cdb441dca8f254147a234951\*" "<Текущая директория>" /E /Y /Q
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -File "%TEMP%\449a1c54c3544a83a88ffa9311be1859.ps1"
'<SYSTEM32>\cmd.exe' /c "%TEMP%\rmm_update_941c47cddda847ada5f5e68d69c69ad2.bat" (со скрытым окном)