Trojan.Siggen32.63369

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[HKLM\SYSTEM\CurrentControlSet\Services\wmiApSrv] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\my07Y87i] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\my07Y87i] 'ImagePath' = 'cmd /c cd /d "%ProgramFiles(x86)%\yirbchies-i\dsiwkddq\" && start "" "%ProgramFiles(x86)%\yirbchies-i\dsiwkddq\my07Y87i.exe"'

Создает следующие сервисы

'my07Y87i' cmd /c cd /d "%ProgramFiles(x86)%\yirbchies-i\dsiwkddq\" && start "" "%ProgramFiles(x86)%\yirbchies-i\dsiwkddq\my07Y87i.exe"

Вредоносные функции

Для затруднения выявления своего присутствия в системе

добавляет исключения антивируса:

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass Add-MpPreference -ExclusionPath '%ProgramFiles(x86)%\' -Force

Изменения в файловой системе

Создает следующие файлы

%TEMP%\is-n29o8.tmp\<Имя файла>.tmp
%TEMP%\is-79i7d.tmp\_isetup\_setup64.tmp
%TEMP%\is-79i7d.tmp\_isetup\_shfoldr.dll
%ProgramFiles(x86)%\yirbchies-i\dsiwkddq\is-v8u7m.tmp
%ProgramFiles(x86)%\yirbchies-i\dsiwkddq\is-l52sd.tmp
%ProgramFiles(x86)%\yirbchies-i\dsiwkddq\is-89d47.tmp
%ProgramFiles(x86)%\yirbchies-i\dsiwkddq\orlbfun
<SYSTEM32>\nrcrlfc
%WINDIR%\usstaorfd.bat
%WINDIR%\temp\__psscriptpolicytest_nzonxen5.jbh.ps1
%WINDIR%\temp\__psscriptpolicytest_wsaj51uu.ekj.psm1
<SYSTEM32>\doqwpno
nul
%WINDIR%\temp\content\400-5144-powershell.exe-21-18-11-570.dump
%WINDIR%\temp\content\400-5144-powershell.exe-21-18-12-342.dump
%WINDIR%\temp\content\400-5144-powershell.exe-21-18-12-764.dump
%WINDIR%\temp\content\400-5144-powershell.exe-21-18-13-343.dump
%WINDIR%\temp\content\400-5144-powershell.exe-21-18-13-546.dump
%WINDIR%\temp\__psscriptpolicytest_cj1bklja.q4g.ps1
%WINDIR%\temp\__psscriptpolicytest_w0noxfsh.rhq.psm1
%WINDIR%\temp\content\400-5144-powershell.exe-21-18-14-534.dump
%WINDIR%\temp\content\400-5144-powershell.exe-21-18-14-623.dump
%WINDIR%\temp\content\400-5144-powershell.exe-21-18-14-698.dump
%WINDIR%\temp\content\400-5144-powershell.exe-21-18-15-004.dump
%WINDIR%\temp\content\400-5144-powershell.exe-21-18-16-165.dump
%WINDIR%\temp\content\400-5144-powershell.exe-21-18-19-047.dump
%WINDIR%\temp\content\400-5144-powershell.exe-21-18-19-677.dump
%WINDIR%\temp\content\400-5144-powershell.exe-21-18-19-796.dump
%WINDIR%\temp\content\400-5144-powershell.exe-21-18-19-881.dump
%WINDIR%\temp\content\400-5144-powershell.exe-21-18-19-950.dump
%WINDIR%\temp\content\400-5144-powershell.exe-21-18-20-022.dump
%WINDIR%\temp\content\400-5144-powershell.exe-21-18-20-081.dump
%WINDIR%\temp\content\400-5144-powershell.exe-21-18-20-187.dump
%WINDIR%\temp\content\400-5144-powershell.exe-21-18-22-192.dump
%WINDIR%\temp\content\400-5144-powershell.exe-21-18-22-329.dump
%WINDIR%\temp\content\400-5144-powershell.exe-21-18-22-393.dump
%WINDIR%\temp\content\400-5144-powershell.exe-21-18-22-406.dump
%WINDIR%\temp\content\400-5144-powershell.exe-21-18-22-463.dump
%WINDIR%\temp\content\400-5144-powershell.exe-21-18-22-532.dump
%WINDIR%\temp\content\400-5144-powershell.exe-21-18-22-645.dump
<SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\powershell\startupprofiledata-noninteractive

Удаляет файлы, которые сам же создал

%TEMP%\is-79i7d.tmp\_isetup\_setup64.tmp
%TEMP%\is-79i7d.tmp\_isetup\_shfoldr.dll
%TEMP%\is-n29o8.tmp\<Имя файла>.tmp
%WINDIR%\temp\__psscriptpolicytest_nzonxen5.jbh.ps1
%WINDIR%\temp\__psscriptpolicytest_wsaj51uu.ekj.psm1
%WINDIR%\temp\__psscriptpolicytest_cj1bklja.q4g.ps1
%WINDIR%\temp\__psscriptpolicytest_w0noxfsh.rhq.psm1

Перемещает следующие файлы

%ProgramFiles(x86)%\yirbchies-i\dsiwkddq\is-v8u7m.tmp в %ProgramFiles(x86)%\yirbchies-i\dsiwkddq\r9y9l.z
%ProgramFiles(x86)%\yirbchies-i\dsiwkddq\is-l52sd.tmp в %ProgramFiles(x86)%\yirbchies-i\dsiwkddq\t6dzjy.m
%ProgramFiles(x86)%\yirbchies-i\dsiwkddq\is-89d47.tmp в %ProgramFiles(x86)%\yirbchies-i\dsiwkddq\my07y87i.exe

Сетевая активность

Подключается к

'16#.#22.65.14':6389

TCP

Другие

'16#.#22.65.14':6389

Другое

Ищет следующие окна

ClassName: 'Q360SafeMonClass' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\is-n29o8.tmp\<Имя файла>.tmp' /SL5="$D0268,7666149,394752,<Полный путь к файлу>"
'%ProgramFiles(x86)%\yirbchies-i\dsiwkddq\my07y87i.exe'

Запускает на исполнение

'<SYSTEM32>\wbem\wmiapsrv.exe'
'<SYSTEM32>\cmd.exe' /c "%WINDIR%\uSSTaORFD.bat"
'<SYSTEM32>\wkspbroker.exe'
'<SYSTEM32>\tasklist.exe' /fi "PID eq 5776"
'<SYSTEM32>\findstr.exe' /i "5776"
'<SYSTEM32>\timeout.exe' /t 15
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass Add-MpPreference -ExclusionPath '%ProgramFiles(x86)%\' -Force (со скрытым окном)