Trojan.Siggen32.60758

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[HKLM\SYSTEM\CurrentControlSet\Services\wmiApSrv] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\11l329n0y] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\11l329n0y] 'ImagePath' = 'cmd /c cd /d "%ProgramFiles(x86)%\yerld\qmefsfsrwk\" && start "" "%ProgramFiles(x86)%\yerld\qmefsfsrwk\11l329n0y.exe"'

Создает следующие сервисы

'11l329n0y' cmd /c cd /d "%ProgramFiles(x86)%\yerld\qmefsfsrwk\" && start "" "%ProgramFiles(x86)%\yerld\qmefsfsrwk\11l329n0y.exe"

Вредоносные функции

Для затруднения выявления своего присутствия в системе

добавляет исключения антивируса:

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass Add-MpPreference -ExclusionPath '%ProgramFiles(x86)%\' -Force

Изменения в файловой системе

Создает следующие файлы

%TEMP%\is-q3fth.tmp\<Имя файла>.tmp
%TEMP%\is-m30v9.tmp\_isetup\_setup64.tmp
%TEMP%\is-m30v9.tmp\_isetup\_shfoldr.dll
%ProgramFiles(x86)%\yerld\qmefsfsrwk\is-t2c2s.tmp
%ProgramFiles(x86)%\yerld\qmefsfsrwk\is-h2kn2.tmp
%ProgramFiles(x86)%\yerld\qmefsfsrwk\is-1vt79.tmp
%ProgramFiles(x86)%\yerld\qmefsfsrwk\swnrgwt
<SYSTEM32>\olyqrul
%WINDIR%\krrbqpmto.bat
%WINDIR%\temp\__psscriptpolicytest_pav1m12b.5c0.ps1
%WINDIR%\temp\__psscriptpolicytest_z1irlmdu.du1.psm1
<SYSTEM32>\cpgfixk
%WINDIR%\temp\content\3892-4980-powershell.exe-21-27-54-129.dump
%WINDIR%\temp\content\3892-4980-powershell.exe-21-27-54-757.dump
%WINDIR%\temp\content\3892-4980-powershell.exe-21-27-55-145.dump
nul
%WINDIR%\temp\content\3892-4980-powershell.exe-21-27-55-674.dump
%WINDIR%\temp\content\3892-4980-powershell.exe-21-27-55-869.dump
%WINDIR%\temp\__psscriptpolicytest_to5jn5ud.oaa.ps1
%WINDIR%\temp\__psscriptpolicytest_1r1xlliu.1xe.psm1
%WINDIR%\temp\content\3892-4980-powershell.exe-21-27-57-059.dump
%WINDIR%\temp\content\3892-4980-powershell.exe-21-27-57-462.dump
%WINDIR%\temp\content\3892-4980-powershell.exe-21-27-57-547.dump
%WINDIR%\temp\content\3892-4980-powershell.exe-21-27-57-842.dump
%WINDIR%\temp\content\3892-4980-powershell.exe-21-27-58-658.dump
%WINDIR%\temp\content\3892-4980-powershell.exe-21-27-59-848.dump
%WINDIR%\temp\content\3892-4980-powershell.exe-21-28-00-760.dump
%WINDIR%\temp\content\3892-4980-powershell.exe-21-28-00-836.dump
%WINDIR%\temp\content\3892-4980-powershell.exe-21-28-00-890.dump
%WINDIR%\temp\content\3892-4980-powershell.exe-21-28-00-941.dump
%WINDIR%\temp\content\3892-4980-powershell.exe-21-28-00-986.dump
%WINDIR%\temp\content\3892-4980-powershell.exe-21-28-01-040.dump
%WINDIR%\temp\content\3892-4980-powershell.exe-21-28-01-093.dump
%WINDIR%\temp\content\3892-4980-powershell.exe-21-28-05-148.dump
%WINDIR%\temp\content\3892-4980-powershell.exe-21-28-05-349.dump
%WINDIR%\temp\content\3892-4980-powershell.exe-21-28-05-465.dump
%WINDIR%\temp\content\3892-4980-powershell.exe-21-28-05-481.dump
%WINDIR%\temp\content\3892-4980-powershell.exe-21-28-05-496.dump
%WINDIR%\temp\content\3892-4980-powershell.exe-21-28-05-565.dump
%WINDIR%\temp\content\3892-4980-powershell.exe-21-28-05-729.dump
%WINDIR%\temp\content\3892-4980-powershell.exe-21-28-05-843.dump
<SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\powershell\startupprofiledata-noninteractive

Удаляет файлы, которые сам же создал

%TEMP%\is-m30v9.tmp\_isetup\_setup64.tmp
%TEMP%\is-m30v9.tmp\_isetup\_shfoldr.dll
%TEMP%\is-q3fth.tmp\<Имя файла>.tmp
%WINDIR%\temp\__psscriptpolicytest_pav1m12b.5c0.ps1
%WINDIR%\temp\__psscriptpolicytest_z1irlmdu.du1.psm1
%WINDIR%\temp\__psscriptpolicytest_to5jn5ud.oaa.ps1
%WINDIR%\temp\__psscriptpolicytest_1r1xlliu.1xe.psm1

Перемещает следующие файлы

%ProgramFiles(x86)%\yerld\qmefsfsrwk\is-t2c2s.tmp в %ProgramFiles(x86)%\yerld\qmefsfsrwk\p0v3.y
%ProgramFiles(x86)%\yerld\qmefsfsrwk\is-h2kn2.tmp в %ProgramFiles(x86)%\yerld\qmefsfsrwk\11l329n0y.exe
%ProgramFiles(x86)%\yerld\qmefsfsrwk\is-1vt79.tmp в %ProgramFiles(x86)%\yerld\qmefsfsrwk\vic1o7x.g

Сетевая активность

Подключается к

'27.#24.17.3':7539

TCP

Другие

'27.#24.17.3':7539

Другое

Ищет следующие окна

ClassName: 'Q360SafeMonClass' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\is-q3fth.tmp\<Имя файла>.tmp' /SL5="$1102CE,7925467,255488,<Полный путь к файлу>"
'%ProgramFiles(x86)%\yerld\qmefsfsrwk\11l329n0y.exe'

Запускает на исполнение

'<SYSTEM32>\wbem\wmiapsrv.exe'
'<SYSTEM32>\cmd.exe' /c "%WINDIR%\kRRBqPmtO.bat"
'<SYSTEM32>\systemsettingsbroker.exe'
'<SYSTEM32>\tasklist.exe' /fi "PID eq 3724"
'<SYSTEM32>\findstr.exe' /i "3724"
'<SYSTEM32>\timeout.exe' /t 15
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass Add-MpPreference -ExclusionPath '%ProgramFiles(x86)%\' -Force (со скрытым окном)