Trojan.Siggen34.17076

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

Устанавливает следующие настройки сервисов

[HKLM\SYSTEM\CurrentControlSet\Services\wmiApSrv] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\CP8LbeNT] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\CP8LbeNT] 'ImagePath' = 'cmd /c cd /d "%ProgramFiles(x86)%\gloand-r\ijaootttx\" && start "" "%ProgramFiles(x86)%\gloand-r\ijaootttx\CP8LbeNT.exe"'

Создает следующие сервисы

'CP8LbeNT' cmd /c cd /d "%ProgramFiles(x86)%\gloand-r\ijaootttx\" && start "" "%ProgramFiles(x86)%\gloand-r\ijaootttx\CP8LbeNT.exe"

Вредоносные функции

Для затруднения выявления своего присутствия в системе

добавляет исключения антивируса:

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass Add-MpPreference -ExclusionPath '%ProgramFiles(x86)%\' -Force

Изменения в файловой системе

Создает следующие файлы

%TEMP%\is-etcm2.tmp\<Имя файла>.tmp
%TEMP%\is-60e9i.tmp\_isetup\_setup64.tmp
%TEMP%\is-60e9i.tmp\_isetup\_shfoldr.dll
%ProgramFiles(x86)%\gloand-r\ijaootttx\is-7kb60.tmp
%ProgramFiles(x86)%\gloand-r\ijaootttx\is-kumld.tmp
%ProgramFiles(x86)%\gloand-r\ijaootttx\is-1tv8l.tmp
%ProgramFiles(x86)%\gloand-r\ijaootttx\udxaeet
<SYSTEM32>\bzwjnbi
%WINDIR%\uakzocco.bat
%WINDIR%\temp\__psscriptpolicytest_lvcw42jv.0vi.ps1
%WINDIR%\temp\__psscriptpolicytest_spmnytjj.iwd.psm1
%WINDIR%\temp\__psscriptpolicytest_zy31jsap.bi5.ps1
%WINDIR%\temp\__psscriptpolicytest_vulyqczl.1qt.psm1
nul
<SYSTEM32>\wkcplew
%ALLUSERSPROFILE%\8ef8be8000002b9b\regedit.log
<SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\powershell\startupprofiledata-noninteractive

Удаляет файлы, которые сам же создал

Перемещает следующие файлы

%ProgramFiles(x86)%\gloand-r\ijaootttx\is-7kb60.tmp в %ProgramFiles(x86)%\gloand-r\ijaootttx\2ho5s.wp
%ProgramFiles(x86)%\gloand-r\ijaootttx\is-kumld.tmp в %ProgramFiles(x86)%\gloand-r\ijaootttx\cp8lbent.exe
%ProgramFiles(x86)%\gloand-r\ijaootttx\is-1tv8l.tmp в %ProgramFiles(x86)%\gloand-r\ijaootttx\vcp7jdw8.t

Сетевая активность

Подключается к

TCP

Другие

Другое

Ищет следующие окна

Создает и запускает на исполнение

'%TEMP%\is-etcm2.tmp\<Имя файла>.tmp' /SL5="$1C01CA,7629141,389120,<Полный путь к файлу>"
'%ProgramFiles(x86)%\gloand-r\ijaootttx\cp8lbent.exe'

Запускает на исполнение

'<SYSTEM32>\wbem\wmiapsrv.exe'
'<SYSTEM32>\cmd.exe' /c "%WINDIR%\uAkzoCcO.bat"
'<SYSTEM32>\systemsettingsbroker.exe'
'<SYSTEM32>\tasklist.exe' /fi "PID eq 636"
'<SYSTEM32>\findstr.exe' /i "636"
'<SYSTEM32>\timeout.exe' /t 15
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass Add-MpPreference -ExclusionPath '%ProgramFiles(x86)%\' -Force (со скрытым окном)