Trojan.Siggen32.64350

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKCU\Environment] 'UserInitMprLogonScript' = '%LOCALAPPDATA%\Microsoft\Windows\Personalization\ThemeMonitor.exe'
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'OneDriveUpdaterSvc' = '%LOCALAPPDATA%\Microsoft\Windows\Personalization\ThemeMonitor.exe'
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'OneDriveUpdaterSvc' = '%LOCALAPPDATA%\Microsoft\Windows\Personalization\ThemeMonitor.exe'

Создает или изменяет следующие файлы

%APPDATA%\microsoft\windows\start menu\programs\startup\onedriveaaawat.exe
%APPDATA%\microsoft\windows\start menu\programs\startup\onedriveaaawat.exe\:zone.identifier:$data
<SYSTEM32>\tasks\onedriveupdatescheduler

Вредоносные функции

Для затруднения выявления своего присутствия в системе

добавляет исключения антивируса:

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -NonInteractive -Command "Add-MpPreference -ExclusionPath '%LOCALAPPDATA%\Microsoft\Windows\Personalization','%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup' -Force...

Читает файлы, отвечающие за хранение паролей сторонними программами

%LOCALAPPDATA%\google\chrome\user data\default\cookies
%LOCALAPPDATA%\google\chrome\user data\default\login data
%APPDATA%\opera software\opera stable\login data
%LOCALAPPDATA%\google\chrome\user data\default\web data

Изменения в файловой системе

Создает следующие файлы

%LOCALAPPDATA%\microsoft\windows\personalization\thememonitor.exe
%LOCALAPPDATA%\microsoft\windows\personalization\thememonitor.exe\:zone.identifier:$data
%TEMP%\content\5036-4124-wmic.exe-22-08-37-310.dump
%TEMP%\content\244-868-wmic.exe-22-08-38-996.dump
%TEMP%\content\3668-3464-wmic.exe-22-08-46-676.dump
%TEMP%\content\2364-4636-wmic.exe-22-08-48-607.dump
%TEMP%\lskd2c8.tmp
%TEMP%\ckdd2f7.tmp
%TEMP%\ckdd356.tmp
%TEMP%\ckdd367.tmp
%TEMP%\lskd377.tmp
%TEMP%\lskd398.tmp
%TEMP%\lskd3c8.tmp
%TEMP%\brdd3c9.tmp
%TEMP%\lskd3e9.tmp
%TEMP%\lskd3f9.tmp
%TEMP%\brdd3fa.tmp
%TEMP%\lskd42a.tmp
%TEMP%\brdd42b.tmp
%TEMP%\lskd44c.tmp
%TEMP%\lskd44d.tmp
%TEMP%\brdd45d.tmp
%TEMP%\brdd4ac.tmp
%TEMP%\brdd4ad.tmp
%TEMP%\brdd4be.tmp
%TEMP%\brdd4cf.tmp
%TEMP%\brdd4df.tmp
%TEMP%\brdd59c.tmp

Присваивает атрибут 'скрытый' для следующих файлов

%LOCALAPPDATA%\microsoft\windows\personalization\thememonitor.exe
%APPDATA%\microsoft\windows\start menu\programs\startup\onedriveaaawat.exe

Удаляет файлы, которые сам же создал

%TEMP%\lskd2c8.tmp
%TEMP%\ckdd367.tmp
%TEMP%\lskd377.tmp
%TEMP%\lskd398.tmp
%TEMP%\lskd3c8.tmp
%TEMP%\brdd3c9.tmp
%TEMP%\lskd3e9.tmp
%TEMP%\lskd3f9.tmp
%TEMP%\brdd3fa.tmp
%TEMP%\lskd42a.tmp
%TEMP%\brdd42b.tmp
%TEMP%\lskd44c.tmp
%TEMP%\lskd44d.tmp
%TEMP%\brdd45d.tmp
%TEMP%\brdd4ac.tmp
%TEMP%\brdd4ad.tmp
%TEMP%\brdd4be.tmp
%TEMP%\brdd4cf.tmp
%TEMP%\brdd4df.tmp
%TEMP%\brdd59c.tmp

Сетевая активность

Подключается к

'10#.#39.83.200':80

TCP

Другие

'10#.#39.83.200':80

Другое

Создает и запускает на исполнение

'%LOCALAPPDATA%\microsoft\windows\personalization\thememonitor.exe'

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c powershell -WindowStyle Hidden -NonInteractive -Command "Add-MpPreference -ExclusionPath '%LOCALAPPDATA%\Microsoft\Windows\Personalization','%APPDATA%\Microsoft\Windows\Start Menu\Programs\S... (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c schtasks /create /tn "OneDriveUpdateScheduler" /tr "\"%LOCALAPPDATA%\Microsoft\Windows\Personalization\ThemeMonitor.exe\"" /rl highest /sc onlogon /ru "user" /delay 0000:30 /f (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /create /tn "OneDriveUpdateScheduler" /tr "\"%LOCALAPPDATA%\Microsoft\Windows\Personalization\ThemeMonitor.exe\"" /rl highest /sc onlogon /ru "user" /delay 0000:30 /f
'<SYSTEM32>\cmd.exe' /c wmic /namespace:\\root\subscription PATH __EventFilter CREATE Name="SCStormFlt",EventNameSpace="root\cimv2",QueryLanguage="WQL",Query="SELECT * FROM __InstanceModificationEvent WITHIN 3600 W... (со скрытым окном)
'<SYSTEM32>\wbem\wmic.exe' /namespace:\\root\subscription PATH __EventFilter CREATE Name="SCStormFlt",EventNameSpace="root\cimv2",QueryLanguage="WQL",Query="SELECT * FROM __InstanceModificationEvent WITHIN 3600 WHERE Tar...
'<SYSTEM32>\cmd.exe' /c wmic /namespace:\\root\subscription PATH CommandLineEventConsumer CREATE Name="SCStormCon",CommandLineTemplate="\"%LOCALAPPDATA%\Microsoft\Windows\Personalization\ThemeMonitor.exe\"" (со скрытым окном)
'<SYSTEM32>\wbem\wmic.exe' /namespace:\\root\subscription PATH CommandLineEventConsumer CREATE Name="SCStormCon",CommandLineTemplate="\"%LOCALAPPDATA%\Microsoft\Windows\Personalization\ThemeMonitor.exe\""
'<SYSTEM32>\cmd.exe' /c wmic /namespace:\\root\subscription PATH __FilterToConsumerBinding CREATE Filter="__EventFilter.Name=\"SCStormFlt\"",Consumer="CommandLineEventConsumer.Name=\"SCStormCon\"" (со скрытым окном)
'<SYSTEM32>\wbem\wmic.exe' /namespace:\\root\subscription PATH __FilterToConsumerBinding CREATE Filter="__EventFilter.Name=\"SCStormFlt\"",Consumer="CommandLineEventConsumer.Name=\"SCStormCon\""
'%LOCALAPPDATA%\microsoft\windows\personalization\thememonitor.exe' (со скрытым окном)

Использует альтернативные потоки данных NTFS