Trojan.Siggen32.60874

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[HKLM\SYSTEM\CurrentControlSet\Services\YRGLKJIU] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\YRGLKJIU] 'ImagePath' = '%ALLUSERSPROFILE%\okontlaqdsua\cumarlvxeloa.exe'

Создает следующие сервисы

'YRGLKJIU' %ALLUSERSPROFILE%\okontlaqdsua\cumarlvxeloa.exe

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует:

Журнал событий Windows (Windows Event Logging)

добавляет исключения антивируса:

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath @($env:UserProfile, $env:ProgramData) -ExclusionExtension '.exe' -Force

Внедряет код в

следующие системные процессы:

<SYSTEM32>\conhost.exe
%WINDIR%\explorer.exe

Завершает или пытается завершить

следующие системные процессы:

<SYSTEM32>\securityhealthsystray.exe
<SYSTEM32>\securityhealthservice.exe

Изменения в файловой системе

Создает следующие файлы

%ALLUSERSPROFILE%\okontlaqdsua\cumarlvxeloa.exe
%WINDIR%\temp\__psscriptpolicytest_l5gsr1bj.ak1.ps1
%WINDIR%\temp\__psscriptpolicytest_oinjp0ym.sp4.psm1
%WINDIR%\temp\content\4332-4552-powershell.exe-16-06-45-997.dump
%WINDIR%\temp\content\4332-4552-powershell.exe-16-06-46-351.dump
%WINDIR%\temp\content\4332-4552-powershell.exe-16-06-46-553.dump
%WINDIR%\temp\content\4332-4552-powershell.exe-16-06-46-923.dump
%WINDIR%\temp\content\4332-4552-powershell.exe-16-06-46-992.dump
%WINDIR%\temp\__psscriptpolicytest_qz5t20fw.15f.ps1
%WINDIR%\temp\__psscriptpolicytest_flncrium.jo3.psm1
%WINDIR%\temp\content\4332-4552-powershell.exe-16-06-47-329.dump
%WINDIR%\temp\content\4332-4552-powershell.exe-16-06-47-426.dump
%WINDIR%\temp\content\4332-4552-powershell.exe-16-06-47-670.dump
%WINDIR%\temp\content\4332-4552-powershell.exe-16-06-47-880.dump
%WINDIR%\temp\content\4332-4552-powershell.exe-16-06-48-140.dump
%WINDIR%\temp\content\4332-4552-powershell.exe-16-06-48-297.dump
%WINDIR%\temp\content\4332-4552-powershell.exe-16-06-48-505.dump
%WINDIR%\temp\content\4332-4552-powershell.exe-16-06-48-573.dump
%WINDIR%\temp\content\4332-4552-powershell.exe-16-06-48-629.dump
%WINDIR%\temp\content\4332-4552-powershell.exe-16-06-48-681.dump
%WINDIR%\temp\content\4332-4552-powershell.exe-16-06-48-726.dump
%WINDIR%\temp\content\4332-4552-powershell.exe-16-06-48-770.dump
%WINDIR%\temp\content\4332-4552-powershell.exe-16-06-48-821.dump
%WINDIR%\temp\content\4332-4552-powershell.exe-16-06-51-314.dump
%WINDIR%\temp\content\4332-4552-powershell.exe-16-06-51-423.dump
%WINDIR%\temp\content\4332-4552-powershell.exe-16-06-51-477.dump
%WINDIR%\temp\content\4332-4552-powershell.exe-16-06-51-479.dump
%WINDIR%\temp\content\4332-4552-powershell.exe-16-06-51-487.dump
%WINDIR%\temp\content\4332-4552-powershell.exe-16-06-51-657.dump
%WINDIR%\temp\content\4332-4552-powershell.exe-16-06-51-764.dump
%WINDIR%\temp\content\4332-4552-powershell.exe-16-06-51-968.dump
<SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\powershell\startupprofiledata-noninteractive
%WINDIR%\temp\nfeavbrgrjfj.sys

Удаляет файлы, которые сам же создал

%WINDIR%\temp\__psscriptpolicytest_l5gsr1bj.ak1.ps1
%WINDIR%\temp\__psscriptpolicytest_oinjp0ym.sp4.psm1
%WINDIR%\temp\__psscriptpolicytest_qz5t20fw.15f.ps1
%WINDIR%\temp\__psscriptpolicytest_flncrium.jo3.psm1

Изменяет файл HOSTS.

Сетевая активность

UDP

DNS ASK ze##.#miners.com

Другое

Создает и запускает на исполнение

'%ALLUSERSPROFILE%\okontlaqdsua\cumarlvxeloa.exe'

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c wusa /uninstall /kb:890830 /quiet /norestart
'<SYSTEM32>\sc.exe' stop UsoSvc
'<SYSTEM32>\sc.exe' stop WaaSMedicSvc
'<SYSTEM32>\wusa.exe' /uninstall /kb:890830 /quiet /norestart
'<SYSTEM32>\sc.exe' stop wuauserv
'<SYSTEM32>\sc.exe' stop bits
'<SYSTEM32>\sc.exe' stop dosvc
'<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-ac 0
'<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-dc 0
'<SYSTEM32>\powercfg.exe' /x -standby-timeout-ac 0
'<SYSTEM32>\powercfg.exe' /x -standby-timeout-dc 0
'<SYSTEM32>\sc.exe' delete "YRGLKJIU"
'<SYSTEM32>\sc.exe' create "YRGLKJIU" binpath= "%ALLUSERSPROFILE%\okontlaqdsua\cumarlvxeloa.exe" start= "auto"
'<SYSTEM32>\sc.exe' stop eventlog
'<SYSTEM32>\sc.exe' start "YRGLKJIU"
'<SYSTEM32>\conhost.exe'
'%WINDIR%\explorer.exe'
'<SYSTEM32>\securityhealthservice.exe'