Trojan.Siggen34.7373

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'csrss' = '"%WINDIR%\rss\csrss.exe"'

Создает или изменяет следующие файлы

Устанавливает следующие настройки сервисов

[HKLM\SYSTEM\CurrentControlSet\Services\VBoxWddm] 'ImagePath' = 'VBoxWddm'
[HKLM\SYSTEM\CurrentControlSet\Services\VBoxSF] 'ImagePath' = 'VBoxSF'
[HKLM\SYSTEM\CurrentControlSet\Services\VBoxMouse] 'ImagePath' = 'VBoxMouse'
[HKLM\SYSTEM\CurrentControlSet\Services\VBoxGuest] 'ImagePath' = 'VBoxGuest'
[HKLM\SYSTEM\CurrentControlSet\Services\VBoxService] 'ImagePath' = 'VBoxService'
[HKLM\SYSTEM\CurrentControlSet\Services\VBoxVideo] 'ImagePath' = 'VBoxVideo'

Создает следующие сервисы

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует запуск следующих системных утилит:

добавляет исключения антивируса с помощью следующих ключей реестра:

[HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths] '%WINDIR%\rss' = '00000000'
[HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths] '%TEMP%\csrss' = '00000000'
[HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths] '%WINDIR%\windefender.exe' = '00000000'
[HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths] '<DRIVERS>' = '00000000'
[HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Processes] 'csrss.exe' = '00000000'
[HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Processes] 'windefender.exe' = '00000000'
[HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Processes] '<Имя файла>.exe' = '00000000'

Запускает на исполнение

'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="csrss" dir=in action=allow program="%WINDIR%\rss\csrss.exe" enable=yes

Изменения в файловой системе

Создает следующие файлы

%WINDIR%\temp\__psscriptpolicytest_cw4aswrj.io0.ps1
%WINDIR%\temp\__psscriptpolicytest_mhfxomne.c3p.psm1
%WINDIR%\temp\__psscriptpolicytest_vzvtsrv1.0se.ps1
%WINDIR%\temp\__psscriptpolicytest_woih0iqy.j2c.psm1
%WINDIR%\syswow64\config\systemprofile\appdata\local\microsoft\windows\powershell\startupprofiledata-interactive
%WINDIR%\temp\__psscriptpolicytest_0vfdsjfy.gvo.ps1
%WINDIR%\temp\__psscriptpolicytest_niqu511g.dr3.psm1
%WINDIR%\temp\__psscriptpolicytest_mxm2jmgm.5vj.ps1
%WINDIR%\temp\__psscriptpolicytest_zrsystug.us2.psm1
%WINDIR%\temp\__psscriptpolicytest_50un54ir.cr0.ps1
%WINDIR%\temp\__psscriptpolicytest_cen2mahw.p21.psm1
%WINDIR%\temp\__psscriptpolicytest_cliilrd5.cwo.ps1
%WINDIR%\temp\__psscriptpolicytest_rdrltce3.v3v.psm1
%WINDIR%\rss\csrss.exe
nul
%WINDIR%\temp\__psscriptpolicytest_kib03g3i.s3h.ps1
%WINDIR%\temp\__psscriptpolicytest_wzejxayk.3t2.psm1
%WINDIR%\temp\__psscriptpolicytest_qaayghbm.yut.ps1
%WINDIR%\temp\__psscriptpolicytest_aellf4dq.go5.psm1
%WINDIR%\temp\__psscriptpolicytest_xdecntpz.tzl.ps1
%WINDIR%\temp\__psscriptpolicytest_v0gffnjj.zht.psm1
%WINDIR%\temp\__psscriptpolicytest_k4v0ctag.zrg.ps1
%WINDIR%\temp\__psscriptpolicytest_bsoavh45.tmk.psm1
%WINDIR%\temp\__psscriptpolicytest_2qtydo4h.gj1.ps1
%WINDIR%\temp\__psscriptpolicytest_v2ygkc2r.54o.psm1
%WINDIR%\temp\__psscriptpolicytest_emy0leli.2ay.ps1
%WINDIR%\temp\__psscriptpolicytest_g5zzzere.1dn.psm1
%TEMP%\csrss\injector\injector.exe
%TEMP%\csrss\injector\ntquerysysteminformationhook.dll

Удаляет файлы, которые сам же создал

Сетевая активность

Подключается к

TCP

Другие

UDP

Другое

Создает и запускает на исполнение

'%WINDIR%\rss\csrss.exe'
'%TEMP%\csrss\injector\injector.exe' taskmgr.exe %TEMP%\csrss\injector\NtQuerySystemInformationHook.dll

Перезапускает анализируемый образец

Запускает на исполнение

'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -nologo -noprofile (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C "netsh advfirewall firewall add rule name="csrss" dir=in action=allow program="%WINDIR%\rss\csrss.exe" enable=yes" (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /CREATE /SC ONLOGON /RL HIGHEST /TR "%WINDIR%\rss\csrss.exe" /TN csrss /F (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /delete /tn ScheduledUpdate /f (со скрытым окном)
'%WINDIR%\rss\csrss.exe' (со скрытым окном)
'%TEMP%\csrss\injector\injector.exe' taskmgr.exe %TEMP%\csrss\injector\NtQuerySystemInformationHook.dll (со скрытым окном)