BackDoor.Siggen2.6061

Техническая информация

Вредоносные функции

Запускает на исполнение

'<SYSTEM32>\taskkill.exe' /F /IM "Discord.exe"
'<SYSTEM32>\taskkill.exe' /F /IM "DiscordCanary.exe"
'<SYSTEM32>\taskkill.exe' /F /IM "DiscordPTB.exe"
'<SYSTEM32>\taskkill.exe' /F /IM "DiscordDevelopment.exe"
'<SYSTEM32>\taskkill.exe' /F /IM "Lightcord.exe"

Завершает или пытается завершить

следующие пользовательские процессы:

firefox.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\nsf4998.tmp
%LOCALAPPDATA%\microsoft\windows\a80ec18b\app-manifest.json
%LOCALAPPDATA%\microsoft\windows\a80ec18b\engine.bin
%LOCALAPPDATA%\microsoft\windows\a80ec18b\deployment.json
%LOCALAPPDATA%\microsoft\windows\a80ec18b\resources.dat
%LOCALAPPDATA%\microsoft\windows\a80ec18b\windows.system.diagnostics.dll
%LOCALAPPDATA%\microsoft\windows\a80ec18b\config.sys
%LOCALAPPDATA%\microsoft\windows\a80ec18b\data.cache
%LOCALAPPDATA%\microsoft\windows\a80ec18b\sys-win-b19d897a.tmp
%LOCALAPPDATA%\microsoft\windows\a80ec18b\v20_native.node
%TEMP%\nsg7220.tmp\system.dll
%TEMP%\xf1337_run\v20_native.node
%TEMP%\debug.log
%TEMP%\2tdezicr\2tdezicr.0.cs
%TEMP%\2tdezicr\2tdezicr.cmdline
%TEMP%\2tdezicr\2tdezicr.out
%TEMP%\2tdezicr\cscb7adcb1918bc41e7916d4e6a7cf9db22.tmp
%TEMP%\res9b13.tmp
%TEMP%\2tdezicr\2tdezicr.dll
%TEMP%\xf1337_kl.ps1
%TEMP%\kksb4jvf\kksb4jvf.0.cs
%TEMP%\kksb4jvf\kksb4jvf.cmdline
%TEMP%\kksb4jvf\kksb4jvf.out
%TEMP%\kksb4jvf\csc725bf13aa4f1460c9817d58c7ce548e8.tmp
%TEMP%\resb7c2.tmp
%TEMP%\kksb4jvf\kksb4jvf.dll
nul
%TEMP%\exa_982984.db
%TEMP%\exa_983031.db
%TEMP%\exa_983078.db
%TEMP%\xf1337_1790305462884_q6ji5c.sqlite
%TEMP%\data-vbnvxe\capture.png
%TEMP%\data_xf1337-9c8fe7a8dab9.zip

Удаляет файлы, которые сам же создал

%TEMP%\res9b13.tmp
%TEMP%\2tdezicr\cscb7adcb1918bc41e7916d4e6a7cf9db22.tmp
%TEMP%\2tdezicr\2tdezicr.out
%TEMP%\2tdezicr\2tdezicr.dll
%TEMP%\2tdezicr\2tdezicr.0.cs
%TEMP%\2tdezicr\2tdezicr.cmdline
%TEMP%\resb7c2.tmp
%TEMP%\kksb4jvf\csc725bf13aa4f1460c9817d58c7ce548e8.tmp
%TEMP%\kksb4jvf\kksb4jvf.out
%TEMP%\kksb4jvf\kksb4jvf.cmdline
%TEMP%\kksb4jvf\kksb4jvf.0.cs
%TEMP%\kksb4jvf\kksb4jvf.dll
%TEMP%\exa_982984.db
%TEMP%\exa_983031.db
%TEMP%\exa_983078.db
%TEMP%\xf1337_1790305462884_q6ji5c.sqlite

Перемещает следующие файлы

%LOCALAPPDATA%\microsoft\windows\a80ec18b\sys-win-b19d897a.tmp в %LOCALAPPDATA%\microsoft\windows\a80ec18b\xf1337.exe

Подменяет следующие файлы

%TEMP%\exa_983078.db

Сетевая активность

Подключается к

'13####yshere.xyz':443
'ap##.ipify.org':443
'ip##pi.com':80

TCP

Запросы HTTP GET

http://ip##pi.com/json/?fi##############################################

Другие

'13####yshere.xyz':443

UDP

DNS ASK 13####yshere.xyz
DNS ASK ap##.ipify.org
DNS ASK ip##pi.com

Другое

Ищет следующие окна

ClassName: '' WindowName: ''

Создает и запускает на исполнение

'%LOCALAPPDATA%\microsoft\windows\a80ec18b\xf1337.exe'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -WindowStyle Hidden -ExecutionPolicy Bypass -File %TEMP%\xf1337_kl.ps1

Запускает на исполнение

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -STA -WindowStyle Hidden -Command " Add-Type @\" using System; using System.Runtime.InteropServices; public class RI { [DllImport(\"user32.dll\")] public static extern bool SetCurs... (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\2tdezicr\2tdezicr.cmdline" (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9B13.tmp" "%TEMP%\2tdezicr\CSCB7ADCB1918BC41E7916D4E6A7CF9DB22.TMP" (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -WindowStyle Hidden -Command Get-Clipboard (со скрытым окном)
'<SYSTEM32>\chcp.com' 65001
'%WINDIR%\microsoft.net\framework64\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\kksb4jvf\kksb4jvf.cmdline" (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESB7C2.tmp" "%TEMP%\kksb4jvf\CSC725BF13AA4F1460C9817D58C7CE548E8.TMP" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /d /s /c "taskkill /F /IM "Discord.exe"" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /d /s /c "taskkill /F /IM "DiscordCanary.exe"" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /d /s /c "taskkill /F /IM "DiscordPTB.exe"" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /d /s /c "taskkill /F /IM "DiscordDevelopment.exe"" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /d /s /c "taskkill /F /IM "Lightcord.exe"" (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -WindowStyle Hidden -ExecutionPolicy Bypass -File %TEMP%\xf1337_kl.ps1 (со скрытым окном)