Trojan.PWS.Siggen2.1716

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'gourde' = '"%ProgramFiles%\Eads\mcdonalds.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'facial' = '"%ProgramFiles%\cheerful\facial.exe"'

Создает или изменяет следующие файлы:

%HOMEPATH%\Start Menu\Programs\Startup\gleaner.lnk

Вредоносные функции:

Создает и запускает на исполнение:

'%TEMP%\nsl2.tmp\119062.exe'
'%TEMP%\nsl2.tmp\NMlancers.exe' "%ProgramFiles%\unconstitutionally\unconstitutionally.exe" "k37399234"
'%TEMP%\nsl2.tmp\NMlancers.exe' "%ProgramFiles%\Lays\mcdonalds.exe" "37399234"
'%ProgramFiles%\cheerful\facial.exe'
'%TEMP%\nsiE.tmp\nsF.tmp' taskkill /im chrome.exe
'%TEMP%\nsl2.tmp\91442.exe'
'%TEMP%\nsl2.tmp\61451.exe'
'%TEMP%\nsl2.tmp\121026.exe'
'%TEMP%\nsl2.tmp\NMlancers.exe' "%ProgramFiles%\Eads\mcdonalds.exe" "48121423"
'%TEMP%\nsl2.tmp\76510.exe'
'%ProgramFiles%\Eads\mcdonalds.exe'
'%ProgramFiles%\Lays\mcdonalds.exe'
'%TEMP%\nsl2.tmp\NMlancers.exe' "<LS_APPDATA>\mcdonalds.exe" "404112"
'%TEMP%\nsl2.tmp\48885.exe'

Запускает на исполнение:

'<SYSTEM32>\taskkill.exe' /im chrome.exe

Ищет ветки реестра, отвечающие за хранение паролей сторонними программами:

[<HKCU>\Software\Microsoft\Internet Account Manager\Accounts]

Изменения в файловой системе:

Создает следующие файлы:

%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\2VAZY7AN\SJSt2gNnkq0gNnkq1gNnkq71Hcmvf10SJSt3gNnkq[1].asp
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\U98D4X8H\SJSt2gNnkq0gNnkq1gNnkq71Hcmvf10SJSt3gNnkq[1].asp
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\YPORKZYZ\SJSt2gNnkq0gNnkq1gNnkq71Hcmvf10SJSt3gNnkq[2].asp
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\YPORKZYZ\SJSt2gNnkq0gNnkq1gNnkq71Hcmvf10SJSt3gNnkq[1].asp
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\SJSt2gNnkq0gNnkq1gNnkq71Hcmvf10SJSt3gNnkq[1].asp
%TEMP%\nsbD.tmp\ShellLink.dll
%WINDIR%\genovese.exe
%TEMP%\nsiE.tmp\nsF.tmp
%TEMP%\nsiE.tmp\nsExec.dll
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\YPORKZYZ\SJSt2gNnkq0gNnkq1gNnkq71Hcmvf10SJSt3gNnkq[3].asp
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\YPORKZYZ\SJSt2gNnkq0gNnkq1gNnkq71Hcmvf10SJSt3gNnkq[10].asp
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\YPORKZYZ\SJSt2gNnkq0gNnkq1gNnkq71Hcmvf10SJSt3gNnkq[9].asp
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\YPORKZYZ\SJSt2gNnkq0gNnkq1gNnkq71Hcmvf10SJSt3gNnkq[12].asp
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\YPORKZYZ\SJSt2gNnkq0gNnkq1gNnkq71Hcmvf10SJSt3gNnkq[11].asp
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\YPORKZYZ\SJSt2gNnkq0gNnkq1gNnkq71Hcmvf10SJSt3gNnkq[8].asp
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\YPORKZYZ\SJSt2gNnkq0gNnkq1gNnkq71Hcmvf10SJSt3gNnkq[5].asp
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\YPORKZYZ\SJSt2gNnkq0gNnkq1gNnkq71Hcmvf10SJSt3gNnkq[4].asp
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\YPORKZYZ\SJSt2gNnkq0gNnkq1gNnkq71Hcmvf10SJSt3gNnkq[7].asp
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\YPORKZYZ\SJSt2gNnkq0gNnkq1gNnkq71Hcmvf10SJSt3gNnkq[6].asp
%TEMP%\nsl2.tmp\NMlancers.exe
%TEMP%\nsl2.tmp\121026.exe
%TEMP%\nsl2.tmp\119062.exe
%TEMP%\nsl2.tmp\Microsoft.Win32.TaskScheduler.dll
%TEMP%\nsl2.tmp\91442.exe
%TEMP%\nsl2.tmp\48885.exe
%TEMP%\nsl2.tmp\12776.exe
%TEMP%\nsl2.tmp\76510.exe
%TEMP%\nsl2.tmp\61451.exe
%ProgramFiles%\Eads\Eads.exe
%TEMP%\nsm7.tmp\SimpleFC.dll
%ProgramFiles%\unconstitutionally\unconstitutionally.exe
%TEMP%\nsp9.tmp\AccessControl.dll
%ProgramFiles%\cheerful\facial.exe
%ProgramFiles%\Lays\mcdonalds.exe
%ProgramFiles%\Eads\mcdonalds.exe
%ProgramFiles%\Eads\mcdonalds.dll
%TEMP%\nsn4.tmp\AccessControl.dll
<LS_APPDATA>\mcdonalds.exe

Удаляет следующие файлы:

%TEMP%\nsbD.tmp\ShellLink.dll
%TEMP%\nsp9.tmp\AccessControl.dll
%TEMP%\nsn4.tmp\AccessControl.dll
%TEMP%\nsm7.tmp\SimpleFC.dll

Изменяет файл HOSTS.

Сетевая активность:

Подключается к:

'ww##.##riorudiger.pw':80
'localhost':1044
'www.se###rudiger.pw':80
'localhost':1036
'localhost':1037

TCP:

Запросы HTTP GET:

http://ww##.##riorudiger.pw/SJSt2gNnkq0gNnkq1gNnkq71Hcmvf10SJSt3gNnkq.asp?so#############################################
http://www.se###rudiger.pw/SJSt2gNnkq0gNnkq1gNnkq71Hcmvf10SJSt3gNnkq.asp?so#############################################

UDP: