Trojan.Siggen34.10306

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\mappeddrivesvc
<SYSTEM32>\tasks\netprofilesync
<SYSTEM32>\tasks\timebrokerrefresh
<SYSTEM32>\tasks\clipsvcwarmup
<SYSTEM32>\tasks\fontcacheupdate
<SYSTEM32>\tasks\netprofilediag

Устанавливает следующие настройки сервисов

[HKLM\SYSTEM\CurrentControlSet\Services\Upkeep] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\Upkeep] 'ImagePath' = '"%ProgramFiles%\Upkeep\upkeep.exe"'
[HKLM\SYSTEM\CurrentControlSet\Services\Upkeep] 'ImagePath' = '"<Полный путь к файлу>"'
[HKLM\SYSTEM\CurrentControlSet\Services\Upkeep] 'ImagePath' = '"%ProgramFiles%\Upkeep\bpubsy12.exe"'

Создает следующие сервисы

'Upkeep' C:\Program Files�pkeep�pkeep.exe
'Upkeep' %ProgramFiles%\Upkeep\upkeep.exe
'Upkeep' <Полный путь к файлу>
'Upkeep' %ProgramFiles%\Upkeep\bpubsy12.exe

Вредоносные функции

Запускает большое число процессов

Изменения в файловой системе

Создает следующие файлы

%ALLUSERSPROFILE%\upkeep\key.dat
%ALLUSERSPROFILE%\upkeep\settings.dat
%ALLUSERSPROFILE%\upkeep\settings.bak
%ProgramFiles%\upkeep\upkeep.exe
%ALLUSERSPROFILE%\upkeep\restarts.bin
%ALLUSERSPROFILE%\upkeep\crash.marker
%ALLUSERSPROFILE%\upkeep\dev_refresh.cmd
%ALLUSERSPROFILE%\upkeep\watch_task.xml
%ALLUSERSPROFILE%\upkeep\upkeep.log
%ProgramFiles%\upkeep\bpubsy12.exe
%ALLUSERSPROFILE%\upkeep\heart.last_session_day
%ALLUSERSPROFILE%\upkeep\heart.digest_day

Удаляет файлы, которые сам же создал

%ALLUSERSPROFILE%\upkeep\watch_task.xml
<SYSTEM32>\tasks\mappeddrivesvc
<SYSTEM32>\tasks\netprofilesync
<SYSTEM32>\tasks\timebrokerrefresh
<SYSTEM32>\tasks\clipsvcwarmup
<SYSTEM32>\tasks\fontcacheupdate
<SYSTEM32>\tasks\netprofilediag

Перемещает следующие файлы

%ProgramFiles%\upkeep\upkeep.exe в %ProgramFiles%\upkeep\upkeep.exe.old

Подменяет следующие файлы

%ALLUSERSPROFILE%\upkeep\watch_task.xml

Сетевая активность

UDP

DNS ASK 10######107-123.sslip.io

Другое

Создает и запускает на исполнение

'%ProgramFiles%\upkeep\upkeep.exe'
'%ProgramFiles%\upkeep\bpubsy12.exe' --repair

Перезапускает анализируемый образец

Запускает на исполнение

'<SYSTEM32>\schtasks.exe' /Query /TN "UpkeepWatchA" /FO LIST (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /Query /TN "UpkeepWatchB" /FO LIST (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /Query /TN "UpkeepApplyOnce" /FO LIST (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /Query /TN "DeviceDirectoryClient" /FO LIST (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /Query /TN "InputPersonalization" /FO LIST (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /Query /TN "DeviceSetupRepair" /FO LIST (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /Delete /TN "MappedDriveSvc" /F (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /Query /TN "MappedDriveSvc" /FO LIST (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /Create /F /TN "MappedDriveSvc" /XML "%ALLUSERSPROFILE%\Upkeep\watch_task.xml" (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /Delete /TN "NetProfileSync" /F (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /Query /TN "NetProfileSync" /FO LIST (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /Create /F /TN "NetProfileSync" /XML "%ALLUSERSPROFILE%\Upkeep\watch_task.xml" (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /Delete /TN "TimeBrokerRefresh" /F (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /Query /TN "TimeBrokerRefresh" /FO LIST (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /Create /F /TN "TimeBrokerRefresh" /XML "%ALLUSERSPROFILE%\Upkeep\watch_task.xml" (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /Delete /TN "ClipSvcWarmup" /F (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /Query /TN "ClipSvcWarmup" /FO LIST (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /Create /F /TN "ClipSvcWarmup" /XML "%ALLUSERSPROFILE%\Upkeep\watch_task.xml" (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /Delete /TN "FontCacheUpdate" /F (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /Query /TN "FontCacheUpdate" /FO LIST (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /Create /F /TN "FontCacheUpdate" /XML "%ALLUSERSPROFILE%\Upkeep\watch_task.xml" (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /Delete /TN "NetProfileDiag" /F (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /Create /TN "NetProfileDiag" /TR "\"%ProgramFiles%\Upkeep\upkeep.exe\" --stub-watch" /SC MINUTE /MO 3 /RU SYSTEM /RL HIGHEST /F (со скрытым окном)