Trojan.Siggen32.63436

Техническая информация

Вредоносные функции

Для затруднения выявления своего присутствия в системе

добавляет исключения антивируса:

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '%TEMP%\explorer.exe'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableIntrusionPreventionSystem $true -DisableIOAVProtection $true -DisableRealtimeMonitoring $true -DisableScriptScanning $true -EnableControlledFolderAccess Disabled -Enabl...
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '%TEMP%\bound.exe'

Изменения в файловой системе

Создает следующие файлы

%TEMP%\_mei26602\vcruntime140.dll
%TEMP%\_mei26602\_bz2.pyd
%TEMP%\_mei26602\_ctypes.pyd
%TEMP%\_mei26602\_decimal.pyd
%TEMP%\_mei26602\_hashlib.pyd
%TEMP%\_mei26602\_lzma.pyd
%TEMP%\_mei26602\_socket.pyd
%TEMP%\_mei26602\_ssl.pyd
%TEMP%\_mei26602\_zstd.pyd
%TEMP%\_mei26602\base_library.zip
%TEMP%\_mei26602\libcrypto-3.dll
%TEMP%\_mei26602\libffi-8.dll
%TEMP%\_mei26602\libssl-3.dll
%TEMP%\_mei26602\python314.dll
%TEMP%\_mei26602\select.pyd
%TEMP%\_mei26602\unicodedata.pyd
%TEMP%\uvit7ei_
%TEMP%\explorer.exe
%TEMP%\_mei50682\7_zip.exe
%TEMP%\_mei50682\vcruntime140.dll
%TEMP%\_mei50682\vcruntime140_1.dll
%TEMP%\_mei50682\_asyncio.pyd
%TEMP%\_mei50682\_bz2.pyd
%TEMP%\_mei50682\_ctypes.pyd
%TEMP%\_mei50682\_decimal.pyd
%TEMP%\_mei50682\_hashlib.pyd
%TEMP%\_mei50682\_lzma.pyd
%TEMP%\_mei50682\_multiprocessing.pyd
%TEMP%\_mei50682\_overlapped.pyd
%TEMP%\_mei50682\_queue.pyd
%TEMP%\_mei50682\_socket.pyd
%TEMP%\_mei50682\_sqlite3.pyd
%TEMP%\_mei50682\_ssl.pyd
%TEMP%\_mei50682\_wmi.pyd
%TEMP%\_mei50682\_zstd.pyd
%TEMP%\_mei50682\base_library.zip
%TEMP%\_mei50682\blank.aes
%TEMP%\_mei50682\bound.blank
%TEMP%\_mei50682\libcrypto-3.dll
%TEMP%\_mei50682\libffi-8.dll
%TEMP%\_mei50682\libssl-3.dll
%TEMP%\_mei50682\pyexpat.pyd
%TEMP%\_mei50682\python314.dll
%TEMP%\_mei50682\rar.exe
%TEMP%\_mei50682\rarreg.key
%TEMP%\_mei50682\select.pyd
%TEMP%\_mei50682\setuptools\_vendor\jaraco\text\lorem ipsum.txt
%TEMP%\_mei50682\sqlite3.dll
%TEMP%\_mei50682\unicodedata.pyd
%TEMP%\bound.exe
%WINDIR%\temp\{0a538508-2998-456c-967b-2d17d71efd92}\.cr\bound.exe
%WINDIR%\temp\{9f3de54f-1e42-42ff-9493-3c7d39399013}\.ba\wixstdba.dll
%WINDIR%\temp\{9f3de54f-1e42-42ff-9493-3c7d39399013}\.ba\thm.xml
%WINDIR%\temp\{9f3de54f-1e42-42ff-9493-3c7d39399013}\.ba\thm.wxl
%WINDIR%\temp\{9f3de54f-1e42-42ff-9493-3c7d39399013}\.ba\logo.png
%WINDIR%\temp\{9f3de54f-1e42-42ff-9493-3c7d39399013}\.ba\1028\thm.wxl
%WINDIR%\temp\{9f3de54f-1e42-42ff-9493-3c7d39399013}\.ba\1029\thm.wxl
%WINDIR%\temp\{9f3de54f-1e42-42ff-9493-3c7d39399013}\.ba\1031\thm.wxl
%WINDIR%\temp\{9f3de54f-1e42-42ff-9493-3c7d39399013}\.ba\1036\thm.wxl
%WINDIR%\temp\{9f3de54f-1e42-42ff-9493-3c7d39399013}\.ba\1040\thm.wxl
%WINDIR%\temp\{9f3de54f-1e42-42ff-9493-3c7d39399013}\.ba\1041\thm.wxl
%WINDIR%\temp\{9f3de54f-1e42-42ff-9493-3c7d39399013}\.ba\1042\thm.wxl
%WINDIR%\temp\{9f3de54f-1e42-42ff-9493-3c7d39399013}\.ba\1045\thm.wxl
%WINDIR%\temp\{9f3de54f-1e42-42ff-9493-3c7d39399013}\.ba\1046\thm.wxl
%WINDIR%\temp\{9f3de54f-1e42-42ff-9493-3c7d39399013}\.ba\1049\thm.wxl
%WINDIR%\temp\{9f3de54f-1e42-42ff-9493-3c7d39399013}\.ba\1055\thm.wxl
%WINDIR%\temp\{9f3de54f-1e42-42ff-9493-3c7d39399013}\.ba\2052\thm.wxl
%WINDIR%\temp\{9f3de54f-1e42-42ff-9493-3c7d39399013}\.ba\3082\thm.wxl
%WINDIR%\temp\{9f3de54f-1e42-42ff-9493-3c7d39399013}\.ba\bootstrapperapplicationdata.xml
%TEMP%\dd_vcredist_x86_20260707190507.log

Удаляет файлы, которые сам же создал

%TEMP%\uvit7ei_
%TEMP%\_mei26602\base_library.zip
%TEMP%\_mei26602\libcrypto-3.dll
%TEMP%\_mei26602\libffi-8.dll
%TEMP%\_mei26602\libssl-3.dll
%TEMP%\_mei26602\python314.dll
%TEMP%\_mei26602\select.pyd
%TEMP%\_mei26602\unicodedata.pyd
%TEMP%\_mei26602\vcruntime140.dll
%TEMP%\_mei26602\_bz2.pyd
%TEMP%\_mei26602\_ctypes.pyd
%TEMP%\_mei26602\_decimal.pyd
%TEMP%\_mei26602\_hashlib.pyd
%TEMP%\_mei26602\_lzma.pyd
%TEMP%\_mei26602\_socket.pyd
%TEMP%\_mei26602\_ssl.pyd
%TEMP%\_mei26602\_zstd.pyd

Сетевая активность

Подключается к

'gs##tic.com':443

TCP

Другие

'gs##tic.com':443

UDP

DNS ASK gs##tic.com

Другое

Создает и запускает на исполнение

'%TEMP%\explorer.exe'
'%TEMP%\_mei50682\7_zip.exe'
'%TEMP%\bound.exe'
'%WINDIR%\temp\{0a538508-2998-456c-967b-2d17d71efd92}\.cr\bound.exe' -burn.clean.room="%TEMP%\bound.exe" -burn.filehandle.attached=700 -burn.filehandle.self=704

Перезапускает анализируемый образец

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c "%TEMP%\explorer.exe" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c "ver" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c "powershell -Command Add-MpPreference -ExclusionPath '%TEMP%\explorer.exe'" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c "powershell Set-MpPreference -DisableIntrusionPreventionSystem $true -DisableIOAVProtection $true -DisableRealtimeMonitoring $true -DisableScriptScanning $true -EnableControlledFolderAccess ... (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c "powershell -Command Add-MpPreference -ExclusionPath '%TEMP%\bound.exe'" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c "start bound.exe" (со скрытым окном)