Trojan.PWS.Siggen2.1757

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'benzoic' = '"%ProgramFiles%\Joists\harriss.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'visibility' = '"%ProgramFiles%\glendening\visibility.exe"'

Создает или изменяет следующие файлы:

%HOMEPATH%\Start Menu\Programs\Startup\layout.lnk

Вредоносные функции:

Создает и запускает на исполнение:

'%TEMP%\nsj2.tmp\114376.exe'
'%TEMP%\nsj2.tmp\NMeps.exe' "%ProgramFiles%\adi\adi.exe" "k44410107"
'%TEMP%\nsj2.tmp\NMeps.exe' "%ProgramFiles%\Representative\harriss.exe" "44410107"
'%ProgramFiles%\glendening\visibility.exe'
'%TEMP%\nsdD.tmp\nsF.tmp' taskkill /im chrome.exe
'%TEMP%\nsj2.tmp\104012.exe'
'%TEMP%\nsj2.tmp\65442.exe'
'%TEMP%\nsj2.tmp\122707.exe'
'%TEMP%\nsj2.tmp\NMeps.exe' "%ProgramFiles%\Joists\harriss.exe" "41736423"
'%TEMP%\nsj2.tmp\72135.exe'
'%ProgramFiles%\Joists\harriss.exe'
'%ProgramFiles%\Representative\harriss.exe'
'%TEMP%\nsj2.tmp\NMeps.exe' "<LS_APPDATA>\harriss.exe" "77446859"
'%TEMP%\nsj2.tmp\38483.exe'

Запускает на исполнение:

'%ProgramFiles%\Internet Explorer\IEXPLORE.EXE' -Embedding
'<SYSTEM32>\taskkill.exe' /im chrome.exe

Ищет ветки реестра, отвечающие за хранение паролей сторонними программами:

[<HKCU>\Software\Microsoft\Internet Account Manager\Accounts]

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\nsdD.tmp\nsExec.dll
%TEMP%\nstE.tmp\ShellLink.dll
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\oEQpU2MTSu0MTSu1MTSu71VbjuDK03oEQpU1MTSu[1].html
%TEMP%\nsdD.tmp\nsF.tmp
%ProgramFiles%\glendening\visibility.exe
%ProgramFiles%\adi\adi.exe
%WINDIR%\duplex.exe
%TEMP%\nsv9.tmp\AccessControl.dll
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\U98D4X8H\oEQpU2MTSu0MTSu1MTSu71VbjuDK03oEQpU1MTSu[4].html
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\U98D4X8H\oEQpU2MTSu0MTSu1MTSu71VbjuDK03oEQpU1MTSu[3].html
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\oEQpU2MTSu0MTSu1MTSu71VbjuDK03oEQpU1MTSu[3].html
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\oEQpU2MTSu0MTSu1MTSu71VbjuDK03oEQpU1MTSu[2].html
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\2VAZY7AN\oEQpU2MTSu0MTSu1MTSu71VbjuDK03oEQpU1MTSu[1].html
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\U98D4X8H\oEQpU2MTSu0MTSu1MTSu71VbjuDK03oEQpU1MTSu[1].html
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\U98D4X8H\oEQpU2MTSu0MTSu1MTSu71VbjuDK03oEQpU1MTSu[2].html
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\YPORKZYZ\oEQpU2MTSu0MTSu1MTSu71VbjuDK03oEQpU1MTSu[1].html
%TEMP%\nsj2.tmp\122707.exe
%TEMP%\nsj2.tmp\104012.exe
%TEMP%\nsj2.tmp\Microsoft.Win32.TaskScheduler.dll
%TEMP%\nsj2.tmp\NMeps.exe
%TEMP%\nsj2.tmp\38483.exe
%TEMP%\nsj2.tmp\25023.exe
%TEMP%\nsj2.tmp\72135.exe
%TEMP%\nsj2.tmp\65442.exe
%TEMP%\nsv4.tmp\AccessControl.dll
<LS_APPDATA>\harriss.exe
%TEMP%\nsd7.tmp\SimpleFC.dll
%ProgramFiles%\Representative\harriss.exe
%ProgramFiles%\Joists\Joists.exe
%TEMP%\nsj2.tmp\114376.exe
%ProgramFiles%\Joists\harriss.exe
%ProgramFiles%\Joists\harriss.dll

Удаляет следующие файлы:

%TEMP%\nstE.tmp\ShellLink.dll
%TEMP%\nsv9.tmp\AccessControl.dll
%TEMP%\nsv4.tmp\AccessControl.dll
%TEMP%\nsd7.tmp\SimpleFC.dll

Изменяет файл HOSTS.

Сетевая активность:

Подключается к:

'ww##.##piensgrafted.pw':80
'localhost':1043
'www.sa####sgrafted.pw':80
'localhost':1036
'localhost':1038

TCP:

Запросы HTTP GET:

http://ww##.##piensgrafted.pw/oEQpU2MTSu0MTSu1MTSu71VbjuDK03oEQpU1MTSu.html?cr##########################################
http://www.sa####sgrafted.pw/oEQpU2MTSu0MTSu1MTSu71VbjuDK03oEQpU1MTSu.html?cr##########################################

UDP: