Trojan.PWS.Siggen1.57115

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Zero' = '%TEMP%\Zero.exe'

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\Zero.exe
%TEMP%\HYD1.tmp.1532848030\HTA\images\main_bittorrent.ico
%TEMP%\HYD1.tmp.1532848030\HTA\images\main_icon.png
%TEMP%\HYD1.tmp.1532848030\HTA\images\main_utorrent.ico
%TEMP%\HYD1.tmp.1532848030\HTA\scripts\common.js
%TEMP%\HYD1.tmp.1532848030\HTA\scripts\es5-shim.js
%TEMP%\HYD1.tmp.1532848030\HTA\scripts\initialize.js
%TEMP%\HYD1.tmp.1532848030\HTA\scripts\install.js
%TEMP%\HYD1.tmp.1532848030\HTA\scripts\uninstall.js
%TEMP%\HYD1.tmp.1532848030\HTA\shell_scripts\check_if_cscript_is_working.js
%TEMP%\HYD1.tmp.1532848030\HTA\shell_scripts\shell_install_offer.js
%TEMP%\HYD1.tmp.1532848030\HTA\shell_scripts\shell_ping_after_close.js
%TEMP%\HYD1.tmp.1532848030\HTA\styles\common.css
%TEMP%\HYD1.tmp.1532848030\HTA\styles\installer.css
%HOMEPATH%\Cookies\%USERNAME%@localhost[2].txt
<LS_APPDATA>\Microsoft\Internet Explorer\MSIMGSIZ.DAT
%TEMP%\HYD1.tmp.1532848030\HTA\images\loading.gif
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\json[1]
%TEMP%\HYD1.tmp.1532848030\HTA\images\bt_icon_48px.png
%TEMP%\HYD1.tmp.1532848030\HTA\i18n\pt.json
%APPDATA%\Microsoft\Protect\CREDHIST
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\1f91d2d17ea675d4c2c3192e241743f9_23ef5514-3059-436f-a4a7-4cefaab20eb1
%HOMEPATH%\Cookies\%USERNAME%@localhost[1].txt
%APPDATA%\uTorrent\settings.dat.new
%TEMP%\HYD1.tmp.1532848030\index.hta.log
%TEMP%\HYD1.tmp.1532848030\HTA\install.1532848030.zip
%TEMP%\HYD1.tmp.1532848030\HTA\index.hta
%TEMP%\HYD1.tmp.1532848030\HTA\uninstall.hta
%TEMP%\HYD1.tmp.1532848030\HTA\i18n\br.json
%TEMP%\HYD1.tmp.1532848030\HTA\i18n\de.json
%TEMP%\HYD1.tmp.1532848030\HTA\i18n\en.json
%TEMP%\HYD1.tmp.1532848030\HTA\i18n\es.json
%TEMP%\HYD1.tmp.1532848030\HTA\i18n\fr.json
%TEMP%\HYD1.tmp.1532848030\HTA\i18n\it.json
%TEMP%\HYD1.tmp.1532848030\HTA\i18n\ko.json
%TEMP%\HYD1.tmp.1532848030\HTA\i18n\ru.json
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\U98D4X8H\featuredcontent[1].php

Удаляет следующие файлы:

%HOMEPATH%\Cookies\%USERNAME%@localhost[1].txt

Перемещает следующие файлы:

%APPDATA%\uTorrent\settings.dat.new в %APPDATA%\uTorrent\settings.dat

Сетевая активность:

Подключается к:

'i-##.#####.xyz.bench.utorrent.com':80
'do######-lb.utorrent.com':80
'localhost':1048
'ip##pi.com':80
'up####.utorrent.com':80
'localhost':1051

TCP:

Запросы HTTP GET:

http://do######-lb.utorrent.com/endpoint/hydra-ut/os/winxp/track/stable/browser/ie/os-region/US/os-lang/en/os-ver/5.1/enc-ver/111258172/
http://ip##pi.com/json?ca###############################################################
http://up####.utorrent.com/featuredcontent.php?w=###
http://i-##.#####.XYZ.bench.utorrent.com/e?i=####################################################################################################################################################...

Запросы HTTP POST:

http://i-##.#####.xyz.bench.utorrent.com/e?i=##

UDP:

DNS ASK ro####.utorrent.com
DNS ASK i-##.#####.xyz.bench.utorrent.com
DNS ASK do######-lb.utorrent.com
DNS ASK ro####.bittorrent.com
DNS ASK ip##pi.com
DNS ASK up####.utorrent.com

Другое:

Ищет следующие окна:

ClassName: 'HTML Application Host Window Class' WindowName: ''

Создает и запускает на исполнение:

'%TEMP%\Zero.exe'

Запускает на исполнение:

'<SYSTEM32>\mshta.exe' "%TEMP%\HYD1.tmp.1532848030\HTA\index.hta?utorrent" "<Полный путь к файлу>" /LOG "%TEMP%\HYD1.tmp.1532848030\index.hta.log" /PID "2848" /CID "VUz68Eq898VieLqG" /VERSION "111258172" /BUCKET "0"...
'<SYSTEM32>\cscript.exe' "shell_scripts/check_if_cscript_is_working.js"
'<SYSTEM32>\ping.exe' 8.8.8.8 -n 2 -w 500
'<SYSTEM32>\cscript.exe' shell_scripts/shell_ping_after_close.js "http://i-##.#####.XYZ.bench.utorrent.com/e?i=###########################################################################################################...