Trojan.Siggen32.59741

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'CoreWorker_LHzZTFjXlgcUzKs' = '%LOCALAPPDATA%\MpDefenderCoreFolder\CoreWorker_LHzZTFjXlgcUzKs.exe'
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'CoreWorker_LHzZTFjXlgcUzKs' = '%LOCALAPPDATA%\MpDefenderCoreFolder\CoreWorker_LHzZTFjXlgcUzKs.exe'

Создает или изменяет следующие файлы

%APPDATA%\microsoft\windows\start menu\programs\startup\windows repair.lnk
<SYSTEM32>\tasks\coreworker_lhzztfjxlgcuzks-1164

Вредоносные функции

Для затруднения выявления своего присутствия в системе

добавляет исключения антивируса:

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -C "Add-MpPreference -ExclusionExtension '.exe' -EA 0"
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionPath '%LOCALAPPDATA%\MpDefenderCoreFolder'"

Патчит код

в динамической библиотеке

Процесс zsrrbv.exe, модуль KERNEL32.dll
Процесс zsrrbv.exe, модуль KERNELBASE.dll
Процесс zsrrbv.exe, модуль ADVAPI32.dll
Процесс zsrrbv.exe, модуль USER32.dll

в динамической библиотеке AMSI

Процесс zsrrbv.exe, модуль Amsi.dll

в динамической библиотеке NTDLL

Процесс zsrrbv.exe, модуль ntdll.dll

Читает файлы, отвечающие за хранение паролей сторонними программами

%LOCALAPPDATA%\microsoft\edge\user data\default\login data
%LOCALAPPDATA%\microsoft\edge\user data\default\web data
%LOCALAPPDATA%\google\chrome\user data\default\login data
%LOCALAPPDATA%\google\chrome\user data\default\web data

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: 'FilemonClass', WindowName: ''
ClassName: '', WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
ClassName: '', WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'RegmonClass', WindowName: ''

Изменения в файловой системе

Создает следующие файлы

%TEMP%\0rbzpvza.b0v\crashpad\settings.dat
%TEMP%\0rbzpvza.b0v\crashpad\throttle_store.dat
%TEMP%\0rbzpvza.b0v\crashpadmetrics-active.pma
%TEMP%\0rbzpvza.b0v\browsermetrics\browsermetrics-6a36e6b1-1030.pma
%TEMP%\0rbzpvza.b0v\shadercache\gpucache\index
%TEMP%\0rbzpvza.b0v\shadercache\gpucache\data_0
%TEMP%\0rbzpvza.b0v\shadercache\gpucache\data_1
%TEMP%\0rbzpvza.b0v\shadercache\gpucache\data_2
%TEMP%\0rbzpvza.b0v\shadercache\gpucache\data_3
%TEMP%\0rbzpvza.b0v\last version
%TEMP%\0rbzpvza.b0v\a4571066-79e8-4158-9404-16b6ef161957.tmp
%TEMP%\0rbzpvza.b0v\7f2298da-56af-4607-942a-e2e7e702ab2a.tmp
%TEMP%\0rbzpvza.b0v\browsermetrics\browsermetrics-6a36e6b6-1170.pma
%TEMP%\0rbzpvza.b0v\173375d3-79a0-4f1b-a7b7-73be46124061.tmp
%TEMP%\0rbzpvza.b0v\4a3102d9-624f-4d47-9b3b-720132968628.tmp
%LOCALAPPDATA%\mpdefendercorefolder\coreworker_lhzztfjxlgcuzks.exe

Присваивает атрибут 'скрытый' для следующих файлов

%LOCALAPPDATA%\mpdefendercorefolder\coreworker_lhzztfjxlgcuzks.exe

Удаляет файлы, которые сам же создал

%TEMP%\0rbzpvza.b0v\browsermetrics\browsermetrics-6a36e6b1-1030.pma
%TEMP%\0rbzpvza.b0v\browsermetrics\browsermetrics-6a36e6b6-1170.pma
%TEMP%\0rbzpvza.b0v\crashpad\settings.dat
%TEMP%\0rbzpvza.b0v\crashpad\throttle_store.dat
%TEMP%\0rbzpvza.b0v\crashpadmetrics.pma
%TEMP%\0rbzpvza.b0v\last version
%TEMP%\0rbzpvza.b0v\local state
%TEMP%\0rbzpvza.b0v\shadercache\gpucache\data_0
%TEMP%\0rbzpvza.b0v\shadercache\gpucache\data_1
%TEMP%\0rbzpvza.b0v\shadercache\gpucache\data_2
%TEMP%\0rbzpvza.b0v\shadercache\gpucache\data_3
%TEMP%\0rbzpvza.b0v\shadercache\gpucache\index

Перемещает следующие файлы

%TEMP%\0rbzpvza.b0v\a4571066-79e8-4158-9404-16b6ef161957.tmp в %TEMP%\0rbzpvza.b0v\local state
%TEMP%\0rbzpvza.b0v\crashpadmetrics-active.pma в %TEMP%\0rbzpvza.b0v\crashpadmetrics.pma

Подменяет следующие файлы

%TEMP%\0rbzpvza.b0v\crashpadmetrics-active.pma

Сетевая активность

Подключается к

'15#.#94.99.166':63973
'ip##pi.com':80

TCP

Запросы HTTP GET

http://ip##pi.com/json/

Другие

'15#.#94.99.166':63973

UDP

DNS ASK ip##pi.com

Другое

Ищет следующие окна

ClassName: 'Registry Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
ClassName: '18467-41' WindowName: ''
ClassName: 'Chrome_MessageWindow' WindowName: '%TEMP%\0rbzpvza.b0v'

Создает и запускает на исполнение

'%LOCALAPPDATA%\mpdefendercorefolder\coreworker_lhzztfjxlgcuzks.exe'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -ExecutionPolicy Bypass -Command " $action = New-ScheduledTaskAction -Execute '%LOCALAPPDATA%\MpDefenderCoreFolder\CoreWorker_LHzZTFjXlgcUzKs.exe...

Запускает на исполнение

'%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe' --user-data-dir="%TEMP%\0rbzpvza.b0v" --app=http://127.0.0.1:49698
'%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe' --user-data-dir="%TEMP%\0rbzpvza.b0v" --app=http://127.0.0.1:49698 --flag-switches-begin --flag-switches-end --do-not-de-elevate (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c powershell -C "Add-MpPreference -ExclusionExtension '.exe' -EA 0" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c powershell -Command "Add-MpPreference -ExclusionPath '%LOCALAPPDATA%\MpDefenderCoreFolder'" (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -ExecutionPolicy Bypass -Command " $action = New-ScheduledTaskAction -Execute '%LOCALAPPDATA%\MpDefenderCoreFolder\CoreWorker_LHzZTFjXlgcUzKs.exe... (со скрытым окном)