Trojan.Siggen33.40045

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[HKLM\SYSTEM\CurrentControlSet\Services\wmiApSrv] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\dODCtXK] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\dODCtXK] 'ImagePath' = '"%APPDATA%\6427a2cc2\uRuDzY\jExoLk\eZpRgVRe\CAC93.exe"'

Создает следующие сервисы

'dODCtXK' C:�sers�ser\AppData\RoamingƢ7a2cc2�RuDzY\jExoLk\eZpRgVRe\CAC93.exe
'dODCtXK' %APPDATA%\6427a2cc2\uRuDzY\jExoLk\eZpRgVRe\CAC93.exe

Вредоносные функции

Для затруднения выявления своего присутствия в системе

добавляет исключения антивируса:

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionPath 'C:\'"

Внедряет код в

следующие системные процессы:

<SYSTEM32>\wbem\wmiapsrv.exe
<SYSTEM32>\svchost.exe
<SYSTEM32>\sihost.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\is-uj6cv.tmp\<Имя файла>.tmp
%TEMP%\is-fj6mn.tmp\_isetup\_setup64.tmp
%TEMP%\is-fj6mn.tmp\_isetup\_isdecmp.dll
%APPDATA%\6427a2cc2\is-1iek8.tmp
%APPDATA%\6427a2cc2\trwub\is-6j6r7.tmp
%APPDATA%\6427a2cc2\urudzy\jexolk\ezprgvre\is-f8qu9.tmp
%APPDATA%\6427a2cc2\urudzy\jexolk\ezprgvre\is-7meeq.tmp
%APPDATA%\6427a2cc2\urudzy\jexolk\ezprgvre\is-7b37m.tmp
%APPDATA%\6427a2cc2\urudzy\jexolk\ezprgvre\is-ujj3e.tmp
%APPDATA%\6427a2cc2\urudzy\jexolk\ezprgvre\is-bbiac.tmp
%APPDATA%\6427a2cc2\urudzy\jexolk\ezprgvre\is-lb5qb.tmp
%APPDATA%\6427a2cc2\urudzy\jexolk\ezprgvre\is-j54cd.tmp
%APPDATA%\6427a2cc2\urudzy\jexolk\ezprgvre\is-6smi0.tmp
%APPDATA%\6427a2cc2\urudzy\jexolk\ezprgvre\7oj\is-rio64.tmp
%APPDATA%\6427a2cc2\urudzy\jexolk\ezprgvre\dc\is-02a43.tmp
%APPDATA%\6427a2cc2\urudzy\jexolk\ezprgvre\hb\is-unso4.tmp
%APPDATA%\6427a2cc2\urudzy\jexolk\ezprgvre\kw\is-sgujk.tmp
%APPDATA%\6427a2cc2\urudzy\jexolk\ezprgvre\mmatp\is-nf7h9.tmp
%APPDATA%\6427a2cc2\urudzy\jexolk\ezprgvre\sa\is-k7qap.tmp
%HOMEPATH%\desktop\flash.lnk
%APPDATA%\6427a2cc2\urudzy\jexolk\ezprgvre\hpqjr6mu7.aov
<SYSTEM32>\codeintegrity\sipolicy.p7b
%ALLUSERSPROFILE%\927b0de67ae8ec4da357aa5cdd88dc75\config.ini

Присваивает атрибут 'скрытый' для следующих файлов

%APPDATA%\6427a2cc2\urudzy\jexolk\ezprgvre\cac93.exe
%APPDATA%\6427a2cc2\urudzy\jexolk\ezprgvre\cerf.u
%APPDATA%\6427a2cc2\urudzy\jexolk\ezprgvre\discord-rpc.x64.dll
%APPDATA%\6427a2cc2\urudzy\jexolk\ezprgvre\hpqjr6mu7.aov
%APPDATA%\6427a2cc2\urudzy\jexolk\ezprgvre\msvcp140.dll
%APPDATA%\6427a2cc2\urudzy\jexolk\ezprgvre\vcomp140.dll
%APPDATA%\6427a2cc2\urudzy\jexolk\ezprgvre\vcruntime140.dll
%APPDATA%\6427a2cc2\urudzy\jexolk\ezprgvre\vcruntime140_1.dll
%APPDATA%\6427a2cc2\urudzy\jexolk\ezprgvre\zqilca.dll
<SYSTEM32>\codeintegrity\sipolicy.p7b

Удаляет файлы, которые сам же создал

%TEMP%\is-fj6mn.tmp\_isetup\_isdecmp.dll
%TEMP%\is-fj6mn.tmp\_isetup\_setup64.tmp
%TEMP%\is-uj6cv.tmp\<Имя файла>.tmp

Перемещает следующие файлы

%APPDATA%\6427a2cc2\is-1iek8.tmp в %APPDATA%\6427a2cc2\f8c0e4ca6.ico
%APPDATA%\6427a2cc2\trwub\is-6j6r7.tmp в %APPDATA%\6427a2cc2\trwub\flash.exe
%APPDATA%\6427a2cc2\urudzy\jexolk\ezprgvre\is-f8qu9.tmp в %APPDATA%\6427a2cc2\urudzy\jexolk\ezprgvre\cac93.exe
%APPDATA%\6427a2cc2\urudzy\jexolk\ezprgvre\is-7meeq.tmp в %APPDATA%\6427a2cc2\urudzy\jexolk\ezprgvre\cerf.u
%APPDATA%\6427a2cc2\urudzy\jexolk\ezprgvre\is-7b37m.tmp в %APPDATA%\6427a2cc2\urudzy\jexolk\ezprgvre\discord-rpc.x64.dll
%APPDATA%\6427a2cc2\urudzy\jexolk\ezprgvre\is-ujj3e.tmp в %APPDATA%\6427a2cc2\urudzy\jexolk\ezprgvre\msvcp140.dll
%APPDATA%\6427a2cc2\urudzy\jexolk\ezprgvre\is-bbiac.tmp в %APPDATA%\6427a2cc2\urudzy\jexolk\ezprgvre\vcomp140.dll
%APPDATA%\6427a2cc2\urudzy\jexolk\ezprgvre\is-lb5qb.tmp в %APPDATA%\6427a2cc2\urudzy\jexolk\ezprgvre\vcruntime140.dll
%APPDATA%\6427a2cc2\urudzy\jexolk\ezprgvre\is-j54cd.tmp в %APPDATA%\6427a2cc2\urudzy\jexolk\ezprgvre\vcruntime140_1.dll
%APPDATA%\6427a2cc2\urudzy\jexolk\ezprgvre\is-6smi0.tmp в %APPDATA%\6427a2cc2\urudzy\jexolk\ezprgvre\zqilca.dll
%APPDATA%\6427a2cc2\urudzy\jexolk\ezprgvre\7oj\is-rio64.tmp в %APPDATA%\6427a2cc2\urudzy\jexolk\ezprgvre\7oj\a0urzr4i3.hhf
%APPDATA%\6427a2cc2\urudzy\jexolk\ezprgvre\dc\is-02a43.tmp в %APPDATA%\6427a2cc2\urudzy\jexolk\ezprgvre\dc\lvvjgre6v0n0rf.ei
%APPDATA%\6427a2cc2\urudzy\jexolk\ezprgvre\hb\is-unso4.tmp в %APPDATA%\6427a2cc2\urudzy\jexolk\ezprgvre\hb\tpttak22ffgirx7.gdq5x
%APPDATA%\6427a2cc2\urudzy\jexolk\ezprgvre\kw\is-sgujk.tmp в %APPDATA%\6427a2cc2\urudzy\jexolk\ezprgvre\kw\7lefzbdewvkjfg.9s
%APPDATA%\6427a2cc2\urudzy\jexolk\ezprgvre\mmatp\is-nf7h9.tmp в %APPDATA%\6427a2cc2\urudzy\jexolk\ezprgvre\mmatp\jkl076wrhunl.fnbp8
%APPDATA%\6427a2cc2\urudzy\jexolk\ezprgvre\sa\is-k7qap.tmp в %APPDATA%\6427a2cc2\urudzy\jexolk\ezprgvre\sa\1pyzl5g8r5mg.9gzzl

Сетевая активность

Подключается к

'tu###ang168.top':45
'tu###ang168.top':48
'8.##8.58.34':45

UDP

DNS ASK tl#.0ray.cn
DNS ASK tu###ang168.top

Другое

Создает и запускает на исполнение

'%TEMP%\is-uj6cv.tmp\<Имя файла>.tmp' /SL5="$701B6,64532039,898048,<Полный путь к файлу>"
'%APPDATA%\6427a2cc2\urudzy\jexolk\ezprgvre\cac93.exe'

Запускает на исполнение

'<SYSTEM32>\wbem\wmiapsrv.exe'
'%APPDATA%\6427a2cc2\urudzy\jexolk\ezprgvre\cac93.exe' (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionPath 'C:\'" (со скрытым окном)