Trojan.Siggen34.18006

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'WindowsUpdateService' = '%TEMP%\onefile_2224_734646_C3Rh_m-235A\python.exe'

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\microsoftedgeupdatetaskwgzz
<SYSTEM32>\tasks\update_sbuxjg

Изменения в файловой системе

Создает следующие файлы

%TEMP%\onefile_2224_734646_c3rh_m-235a\crypter_stub.dll
%TEMP%\onefile_2224_734646_c3rh_m-235a\_asyncio.pyd
%TEMP%\onefile_2224_734646_c3rh_m-235a\_bz2.pyd
%TEMP%\onefile_2224_734646_c3rh_m-235a\_ctypes.pyd
%TEMP%\onefile_2224_734646_c3rh_m-235a\_decimal.pyd
%TEMP%\onefile_2224_734646_c3rh_m-235a\_hashlib.pyd
%TEMP%\onefile_2224_734646_c3rh_m-235a\_lzma.pyd
%TEMP%\onefile_2224_734646_c3rh_m-235a\_multiprocessing.pyd
%TEMP%\onefile_2224_734646_c3rh_m-235a\_overlapped.pyd
%TEMP%\onefile_2224_734646_c3rh_m-235a\_queue.pyd
%TEMP%\onefile_2224_734646_c3rh_m-235a\_socket.pyd
%TEMP%\onefile_2224_734646_c3rh_m-235a\_ssl.pyd
%TEMP%\onefile_2224_734646_c3rh_m-235a\_wmi.pyd
%TEMP%\onefile_2224_734646_c3rh_m-235a\libcrypto-3.dll
%TEMP%\onefile_2224_734646_c3rh_m-235a\libffi-8.dll
%TEMP%\onefile_2224_734646_c3rh_m-235a\libssl-3.dll
%TEMP%\onefile_2224_734646_c3rh_m-235a\pyexpat.pyd
%TEMP%\onefile_2224_734646_c3rh_m-235a\python313.dll
%TEMP%\onefile_2224_734646_c3rh_m-235a\select.pyd
%TEMP%\onefile_2224_734646_c3rh_m-235a\unicodedata.pyd
%TEMP%\onefile_2224_734646_c3rh_m-235a\vcruntime140.dll
%TEMP%\onefile_2224_734646_c3rh_m-235a\vcruntime140_1.dll
%TEMP%\onefile_2224_734646_c3rh_m-235a\crypto\cipher\_arc4.pyd
%TEMP%\onefile_2224_734646_c3rh_m-235a\crypto\cipher\_salsa20.pyd
%TEMP%\onefile_2224_734646_c3rh_m-235a\crypto\cipher\_chacha20.pyd
%TEMP%\onefile_2224_734646_c3rh_m-235a\crypto\cipher\_pkcs1_decode.pyd
%TEMP%\onefile_2224_734646_c3rh_m-235a\crypto\cipher\_raw_aes.pyd
%TEMP%\onefile_2224_734646_c3rh_m-235a\crypto\cipher\_raw_aesni.pyd
%TEMP%\onefile_2224_734646_c3rh_m-235a\crypto\cipher\_raw_arc2.pyd
%TEMP%\onefile_2224_734646_c3rh_m-235a\crypto\cipher\_raw_blowfish.pyd
%TEMP%\onefile_2224_734646_c3rh_m-235a\crypto\cipher\_raw_cast.pyd
%TEMP%\onefile_2224_734646_c3rh_m-235a\crypto\cipher\_raw_cbc.pyd
%TEMP%\onefile_2224_734646_c3rh_m-235a\crypto\cipher\_raw_cfb.pyd
%TEMP%\onefile_2224_734646_c3rh_m-235a\crypto\cipher\_raw_ctr.pyd
%TEMP%\onefile_2224_734646_c3rh_m-235a\crypto\cipher\_raw_des.pyd
%TEMP%\onefile_2224_734646_c3rh_m-235a\crypto\cipher\_raw_des3.pyd
%TEMP%\onefile_2224_734646_c3rh_m-235a\crypto\cipher\_raw_ecb.pyd
%TEMP%\onefile_2224_734646_c3rh_m-235a\crypto\cipher\_raw_eksblowfish.pyd
%TEMP%\onefile_2224_734646_c3rh_m-235a\crypto\cipher\_raw_ocb.pyd
%TEMP%\onefile_2224_734646_c3rh_m-235a\crypto\cipher\_raw_ofb.pyd
%TEMP%\onefile_2224_734646_c3rh_m-235a\crypto\hash\_blake2b.pyd
%TEMP%\onefile_2224_734646_c3rh_m-235a\crypto\hash\_blake2s.pyd
%TEMP%\onefile_2224_734646_c3rh_m-235a\crypto\hash\_md2.pyd
%TEMP%\onefile_2224_734646_c3rh_m-235a\crypto\hash\_md4.pyd
%TEMP%\onefile_2224_734646_c3rh_m-235a\crypto\hash\_md5.pyd
%TEMP%\onefile_2224_734646_c3rh_m-235a\crypto\hash\_ripemd160.pyd
%TEMP%\onefile_2224_734646_c3rh_m-235a\crypto\hash\_sha1.pyd
%TEMP%\onefile_2224_734646_c3rh_m-235a\crypto\hash\_sha224.pyd
%TEMP%\onefile_2224_734646_c3rh_m-235a\crypto\hash\_sha256.pyd
%TEMP%\onefile_2224_734646_c3rh_m-235a\crypto\hash\_sha384.pyd
%TEMP%\onefile_2224_734646_c3rh_m-235a\crypto\hash\_sha512.pyd
%TEMP%\onefile_2224_734646_c3rh_m-235a\crypto\hash\_ghash_clmul.pyd
%TEMP%\onefile_2224_734646_c3rh_m-235a\crypto\hash\_ghash_portable.pyd
%TEMP%\onefile_2224_734646_c3rh_m-235a\crypto\hash\_keccak.pyd
%TEMP%\onefile_2224_734646_c3rh_m-235a\crypto\hash\_poly1305.pyd
%TEMP%\onefile_2224_734646_c3rh_m-235a\crypto\math\_modexp.pyd
%TEMP%\onefile_2224_734646_c3rh_m-235a\crypto\protocol\_scrypt.pyd
%TEMP%\onefile_2224_734646_c3rh_m-235a\crypto\publickey\_curve25519.pyd
%TEMP%\onefile_2224_734646_c3rh_m-235a\crypto\publickey\_curve448.pyd
%TEMP%\onefile_2224_734646_c3rh_m-235a\crypto\publickey\_ec_ws.pyd
%TEMP%\onefile_2224_734646_c3rh_m-235a\crypto\publickey\_ed25519.pyd
%TEMP%\onefile_2224_734646_c3rh_m-235a\crypto\publickey\_ed448.pyd
%TEMP%\onefile_2224_734646_c3rh_m-235a\crypto\util\_cpuid_c.pyd
%TEMP%\onefile_2224_734646_c3rh_m-235a\crypto\util\_strxor.pyd
%TEMP%\syslog_3688.txt
%TEMP%\data_kmvhhm.bin
%TEMP%\update_sbuxjg.exe
%APPDATA%\platformruntime\update_sbuxjg.exe
%APPDATA%\temp\cleanup_fy8kh5byhi1cpch4w8tew5ip9ccnhq.bat
%LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\update_sbuxjg.exe.log
nul

Присваивает атрибут 'скрытый' для следующих файлов

%APPDATA%\platformruntime\update_sbuxjg.exe

Сетевая активность

Подключается к

'20#.#8.170.10':7771

UDP

DNS ASK mo#####.map.fastly.net

Другое

Создает и запускает на исполнение

'%TEMP%\update_sbuxjg.exe'
'%APPDATA%\platformruntime\update_sbuxjg.exe'

Перезапускает анализируемый образец

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c "schtasks /create /tn "MicrosoftEdgeUpdateTaskWGZZ" /tr "%TEMP%\onefile_2224_734646_C3Rh_m-235A\python.exe" /sc hourly /mo 2 /f" (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /create /tn "MicrosoftEdgeUpdateTaskWGZZ" /tr "%TEMP%\onefile_2224_734646_C3Rh_m-235A\python.exe" /sc hourly /mo 2 /f
'<SYSTEM32>\cmd.exe' /c ""%APPDATA%\Temp\cleanup_fY8Kh5bYHI1cpcH4w8Tew5Ip9CcnHq.bat""
'<SYSTEM32>\chcp.com' 65001
'<SYSTEM32>\timeout.exe' /t 2 /nobreak
'<SYSTEM32>\timeout.exe' /t 1 /nobreak
'<SYSTEM32>\schtasks.exe' /create /tn "update_sbuxjg" /sc ONLOGON /tr "\"%APPDATA%\PlatformRuntime\update_sbuxjg.exe\"" /rl HIGHEST /f