Trojan.Siggen32.64398

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKCU\Environment] 'UserInitMprLogonScript' = '%LOCALAPPDATA%\Microsoft\Windows\Personalization\ThemeMonitor.exe'
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'OneDriveUpdaterSvc' = '%LOCALAPPDATA%\Microsoft\Windows\Personalization\ThemeMonitor.exe'
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'OneDriveUpdaterSvc' = '%LOCALAPPDATA%\Microsoft\Windows\Personalization\ThemeMonitor.exe'

Создает или изменяет следующие файлы

%APPDATA%\microsoft\windows\start menu\programs\startup\onedriveaaawat.exe
%APPDATA%\microsoft\windows\start menu\programs\startup\onedriveaaawat.exe\:zone.identifier:$data
<SYSTEM32>\tasks\onedriveupdatescheduler

Вредоносные функции

Для затруднения выявления своего присутствия в системе

добавляет исключения антивируса:

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -NonInteractive -Command "Add-MpPreference -ExclusionPath '%LOCALAPPDATA%\Microsoft\Windows\Personalization','%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup' -Force...

Читает файлы, отвечающие за хранение паролей сторонними программами

%LOCALAPPDATA%\google\chrome\user data\default\login data
%LOCALAPPDATA%\google\chrome\user data\default\cookies
%APPDATA%\opera software\opera stable\login data
%LOCALAPPDATA%\google\chrome\user data\default\web data

Изменения в файловой системе

Создает следующие файлы

%LOCALAPPDATA%\microsoft\windows\personalization\thememonitor.exe
%LOCALAPPDATA%\microsoft\windows\personalization\thememonitor.exe\:zone.identifier:$data
%TEMP%\content\2852-1756-wmic.exe-20-24-29-397.dump
%TEMP%\content\1380-72-wmic.exe-20-24-30-100.dump
%TEMP%\content\1900-580-wmic.exe-20-24-32-956.dump
%TEMP%\content\340-5936-wmic.exe-20-24-33-627.dump
%TEMP%\lsk8b68.tmp
%TEMP%\ckd8b69.tmp
%TEMP%\ckd8b99.tmp
%TEMP%\ckd8ba9.tmp
%TEMP%\lsk8baa.tmp
%TEMP%\lsk8bbb.tmp
%TEMP%\lsk8bcc.tmp
%TEMP%\brd8bcd.tmp
%TEMP%\lsk8bce.tmp
%TEMP%\lsk8bcf.tmp
%TEMP%\brd8bd0.tmp
%TEMP%\lsk8be0.tmp
%TEMP%\brd8be1.tmp
%TEMP%\lsk8bf2.tmp
%TEMP%\lsk8bf3.tmp
%TEMP%\brd8bf4.tmp
%TEMP%\brd8c04.tmp
%TEMP%\brd8c05.tmp
%TEMP%\brd8c06.tmp
%TEMP%\brd8c07.tmp
%TEMP%\brd8c18.tmp
%TEMP%\brd8c19.tmp
%TEMP%\lsk8c39.tmp
%TEMP%\ckd8c4a.tmp
%TEMP%\lsk8c4b.tmp
%TEMP%\lsk8c5c.tmp
%TEMP%\sc2client_ident.json

Присваивает атрибут 'скрытый' для следующих файлов

%LOCALAPPDATA%\microsoft\windows\personalization\thememonitor.exe
%APPDATA%\microsoft\windows\start menu\programs\startup\onedriveaaawat.exe

Удаляет файлы, которые сам же создал

%TEMP%\lsk8b68.tmp
%TEMP%\ckd8ba9.tmp
%TEMP%\lsk8baa.tmp
%TEMP%\lsk8bbb.tmp
%TEMP%\lsk8bcc.tmp
%TEMP%\brd8bcd.tmp
%TEMP%\lsk8bce.tmp
%TEMP%\lsk8bcf.tmp
%TEMP%\brd8bd0.tmp
%TEMP%\lsk8be0.tmp
%TEMP%\brd8be1.tmp
%TEMP%\lsk8bf2.tmp
%TEMP%\lsk8bf3.tmp
%TEMP%\brd8bf4.tmp
%TEMP%\brd8c04.tmp
%TEMP%\brd8c05.tmp
%TEMP%\brd8c06.tmp
%TEMP%\brd8c07.tmp
%TEMP%\brd8c18.tmp
%TEMP%\brd8c19.tmp
%TEMP%\lsk8c39.tmp
%TEMP%\lsk8c4b.tmp
%TEMP%\lsk8c5c.tmp

Сетевая активность

Подключается к

'10#.#39.83.200':80

TCP

Другие

'10#.#39.83.200':80

Другое

Создает и запускает на исполнение

'%LOCALAPPDATA%\microsoft\windows\personalization\thememonitor.exe'

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c powershell -WindowStyle Hidden -NonInteractive -Command "Add-MpPreference -ExclusionPath '%LOCALAPPDATA%\Microsoft\Windows\Personalization','%APPDATA%\Microsoft\Windows\Start Menu\Programs\S... (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c schtasks /create /tn "OneDriveUpdateScheduler" /tr "\"%LOCALAPPDATA%\Microsoft\Windows\Personalization\ThemeMonitor.exe\"" /rl highest /sc onlogon /ru "user" /delay 0000:30 /f (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /create /tn "OneDriveUpdateScheduler" /tr "\"%LOCALAPPDATA%\Microsoft\Windows\Personalization\ThemeMonitor.exe\"" /rl highest /sc onlogon /ru "user" /delay 0000:30 /f
'<SYSTEM32>\cmd.exe' /c wmic /namespace:\\root\subscription PATH __EventFilter CREATE Name="SCStormFlt",EventNameSpace="root\cimv2",QueryLanguage="WQL",Query="SELECT * FROM __InstanceModificationEvent WITHIN 3600 W... (со скрытым окном)
'<SYSTEM32>\wbem\wmic.exe' /namespace:\\root\subscription PATH __EventFilter CREATE Name="SCStormFlt",EventNameSpace="root\cimv2",QueryLanguage="WQL",Query="SELECT * FROM __InstanceModificationEvent WITHIN 3600 WHERE Tar...
'<SYSTEM32>\cmd.exe' /c wmic /namespace:\\root\subscription PATH CommandLineEventConsumer CREATE Name="SCStormCon",CommandLineTemplate="""%LOCALAPPDATA%\Microsoft\Windows\Personalization\ThemeMonitor.exe"" (со скрытым окном)
'<SYSTEM32>\wbem\wmic.exe' /namespace:\\root\subscription PATH CommandLineEventConsumer CREATE Name="SCStormCon",CommandLineTemplate="""%LOCALAPPDATA%\Microsoft\Windows\Personalization\ThemeMonitor.exe""
'<SYSTEM32>\cmd.exe' /c wmic /namespace:\\root\subscription PATH __FilterToConsumerBinding CREATE Filter="__EventFilter.Name=\"SCStormFlt\"",Consumer="CommandLineEventConsumer.Name=\"SCStormCon\"" (со скрытым окном)
'<SYSTEM32>\wbem\wmic.exe' /namespace:\\root\subscription PATH __FilterToConsumerBinding CREATE Filter="__EventFilter.Name=\"SCStormFlt\"",Consumer="CommandLineEventConsumer.Name=\"SCStormCon\""
'%LOCALAPPDATA%\microsoft\windows\personalization\thememonitor.exe' (со скрытым окном)

Использует альтернативные потоки данных NTFS