Trojan.PWS.Siggen2.22820

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'makecab' = '"%APPDATA%\Microsoft\Windows\dllcache\makecab.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'makecab' = '"%APPDATA%\Microsoft\Windows\dllcache\makecab.exe"'
[<HKCU>\Software\Microsoft\Command Processor] 'AutoRun' = '"%APPDATA%\Microsoft\Windows\dllcache\makecab.exe"'
[<HKCU>\Control Panel\Desktop] 'SCRNSAVE.EXE' = '"%APPDATA%\Microsoft\Windows\dllcache\makecab.exe"'

Создает или изменяет следующие файлы

%APPDATA%\microsoft\windows\start menu\programs\startup\makecab.lnk

Создает следующие сервисы

[<HKLM>\System\CurrentControlSet\Services\EFS] 'Start' = '00000002'

Вредоносные функции

Внедряет код в

следующие системные процессы:

%WINDIR%\syswow64\svchost.exe
<SYSTEM32>\dwm.exe
%WINDIR%\explorer.exe
<SYSTEM32>\taskhost.exe

следующие пользовательские процессы:

iexplore.exe
firefox.exe

Читает файлы, отвечающие за хранение паролей сторонними программами

%HOMEPATH%\desktop\dialmap.bmp

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\microsoft\windows\dllcache\makecab.exe
%APPDATA%\microsoft\windows\dllcache\ucrtbase.dll
%APPDATA%\microsoft\windows\dllcache\rasctrnm.h
%APPDATA%\microsoft\windows\dllcache\mlang.dat
%APPDATA%\microsoft\windows\dllcache\radardt.dll
%APPDATA%\microsoft\windows\dllcache\nci.dll
%APPDATA%\microsoft\windows\dllcache\xwizard.dtd
%APPDATA%\microsoft\windows\dllcache\ndadmin.exe
%APPDATA%\microsoft\windows\dllcache\iashlpr.dll
%APPDATA%\microsoft\windows\dllcache\qmgrprxy.dll
%APPDATA%\microsoft\windows\dllcache\bdaplgin.ax
%APPDATA%\microsoft\windows\dllcache\logman.exe
%APPDATA%\microsoft\windows\dllcache\mstask.dll
%APPDATA%\microsoft\windows\dllcache\mapisvc.inf
%APPDATA%\microsoft\windows\dllcache\taskschd.msc
%APPDATA%\microsoft\windows\dllcache\cabview.dll
%APPDATA%\microsoft\windows\dllcache\qagent.dll
%APPDATA%\microsoft\windows\dllcache\wdigest.dll
%APPDATA%\microsoft\windows\dllcache\locationapi.dll
%APPDATA%\microsoft\windows\dllcache\eappcfg.dll
%APPDATA%\microsoft\windows\dllcache\adtschema.dll
%APPDATA%\microsoft\windows\dllcache\napclcfg.msc
%APPDATA%\microsoft\windows\dllcache\iac25_32.ax
%APPDATA%\microsoft\windows\dllcache\dataclen.dll
%APPDATA%\microsoft\windows\dllcache\kbdgrlnd.dll
%APPDATA%\microsoft\windows\dllcache\xwreg.dll
%APPDATA%\microsoft\windows\dllcache\rdpd3d.dll
%APPDATA%\microsoft\windows\dllcache\mfc100deu.dll
%APPDATA%\microsoft\windows\dllcache\eqossnap.dll
%APPDATA%\microsoft\windows\dllcache\pku2u.dll
%APPDATA%\microsoft\windows\dllcache\rasadhlp.dll
%APPDATA%\microsoft\windows\dllcache\audioeng.dll
%APPDATA%\microsoft\windows\dllcache\web.rs
%APPDATA%\microsoft\windows\dllcache\imjp10k.dll
%APPDATA%\microsoft\windows\dllcache\webio.dll
%APPDATA%\microsoft\windows\dllcache\tpm.msc
%APPDATA%\microsoft\windows\dllcache\ureg.dll
%TEMP%\tmpaf03.tmp
%APPDATA%\microsoft\windows\dllcache\rcxaf33.tmp
%APPDATA%\microsoft\windows\dllcache\rcxaf92.tmp
%TEMP%\tmpaff1.tmp
C:\users\default\appdata\roaming\microsoft\windows\start menu\programs\startup\makecab.lnk
%APPDATA%\microsoft\windows\dllcache\presentationhostproxy.dll
%APPDATA%\microsoft\windows\dllcache\sbeio.dll
%APPDATA%\microsoft\windows\dllcache\fc.exe
%APPDATA%\microsoft\windows\dllcache\resampledmo.dll
%APPDATA%\microsoft\windows\dllcache\kbdes.dll
%APPDATA%\microsoft\windows\dllcache\xpsfilt.dll
%APPDATA%\microsoft\windows\dllcache\kbd101a.dll
%APPDATA%\microsoft\windows\dllcache\boot.sdi
%APPDATA%\microsoft\windows\dllcache\tapiperf.dll
%APPDATA%\microsoft\windows\dllcache\scansetting.dll
%APPDATA%\microsoft\windows\dllcache\rmactivate_isv.exe
%APPDATA%\microsoft\windows\dllcache\joy.cpl
%APPDATA%\microsoft\windows\dllcache\hlink.dll
%APPDATA%\microsoft\windows\dllcache\logagent.exe
%APPDATA%\microsoft\windows\dllcache\taskeng.exe
%APPDATA%\microsoft\windows\dllcache\helppaneproxy.dll
%APPDATA%\microsoft\windows\dllcache\license.rtf
%APPDATA%\microsoft\windows\dllcache\d3dim.dll
%APPDATA%\microsoft\windows\dllcache\hh.exe
%APPDATA%\microsoft\windows\dllcache\wpdshserviceobj.dll
%APPDATA%\microsoft\windows\dllcache\capiprovider.dll
%APPDATA%\microsoft\windows\dllcache\d3d8thk.dll
%APPDATA%\microsoft\windows\dllcache\racpldlg.dll
%APPDATA%\microsoft\windows\dllcache\ubpm.dll
%APPDATA%\microsoft\windows\dllcache\dbnetlib.dll
%APPDATA%\microsoft\windows\dllcache\shgina.dll
%APPDATA%\microsoft\windows\dllcache\scrrun.dll
%APPDATA%\microsoft\windows\dllcache\packager.dll

Удаляет следующие файлы

%TEMP%\tmpaf03.tmp
%TEMP%\tmpaff1.tmp

Перемещает следующие файлы

%APPDATA%\microsoft\windows\dllcache\rcxaf33.tmp в %APPDATA%\microsoft\windows\dllcache\makecab.exe
%APPDATA%\microsoft\windows\dllcache\rcxaf92.tmp в %APPDATA%\microsoft\windows\dllcache\makecab.exe

Самоудаляется.

Сетевая активность

Подключается к