Trojan.PWS.Siggen2.37708

Техническая информация

Для обеспечения автозапуска и распространения

Создает следующие сервисы

[<HKLM>\SYSTEM\CurrentControlSet\Services\ampa] 'ImagePath' = 'system32\ampa.sys'

Вредоносные функции

Читает файлы, отвечающие за хранение паролей сторонними программами

%HOMEPATH%\desktop\api-hashmap.html
%HOMEPATH%\desktop\testcertificate.cer
%HOMEPATH%\desktop\sdszfo.docx
%HOMEPATH%\desktop\pmd.cer
%HOMEPATH%\desktop\lisp_success.doc
%HOMEPATH%\desktop\join.avi
%HOMEPATH%\desktop\howto-index.html
%HOMEPATH%\desktop\holycrosschurchinstructions.docx
%HOMEPATH%\desktop\hanni_umami_chapter.doc
%HOMEPATH%\desktop\glidescope_review_rev_010.docx
%HOMEPATH%\desktop\garden.htm
%HOMEPATH%\desktop\file_p_00000000_1371597592.docx
%HOMEPATH%\desktop\fi51.doc
%HOMEPATH%\desktop\correct.avi
%HOMEPATH%\desktop\contoso_1.cer
%HOMEPATH%\desktop\contosoroot_1.cer
%HOMEPATH%\desktop\browse.html
%HOMEPATH%\desktop\applicantform_en.doc
%HOMEPATH%\desktop\trivial-merge.htm
%HOMEPATH%\desktop\trivial-merge.html

Изменения в файловой системе

Создает следующие файлы

%TEMP%\2k10\p_assistant\2gpt_bcd
%TEMP%\2k10\p_assistant\exfat.dll
%TEMP%\2k10\p_assistant\gptbcd.dll
%TEMP%\2k10\p_assistant\iconv.dll
%TEMP%\2k10\p_assistant\libgcc_s_sjlj-1.dll
%TEMP%\2k10\p_assistant\libwim-15.dll
%TEMP%\2k10\p_assistant\libxml2-2.dll
%TEMP%\2k10\p_assistant\mfc80.dll
%TEMP%\2k10\p_assistant\mfc80u.dll
%TEMP%\2k10\p_assistant\mfcm80.dll
%TEMP%\2k10\p_assistant\mfcm80u.dll
%TEMP%\2k10\p_assistant\msvcm80.dll
%TEMP%\2k10\p_assistant\7z.exe
%TEMP%\2k10\p_assistant\msvcp80.dll
%TEMP%\2k10\p_assistant\pe.dll
%TEMP%\2k10\p_assistant\pthreadgc2.dll
%TEMP%\2k10\p_assistant\scanpartition.dll
%TEMP%\2k10\p_assistant\ssdsecurityerase.dll
%TEMP%\2k10\p_assistant\vhdmgr.dll
%TEMP%\2k10\p_assistant\webctrl.dll
%TEMP%\2k10\p_assistant\wimgapi.dll
%TEMP%\2k10\p_assistant\wimmgr.dll
%TEMP%\2k10\p_assistant\eng\732\ampa.sys
%TEMP%\2k10\p_assistant\eng\764\ampa.sys
%TEMP%\2k10\p_assistant\eng\xp\ampa.sys
%TEMP%\2k10\p_assistant\botva2.dll
%TEMP%\2k10\p_assistant\callbackctrl.dll
%TEMP%\2k10\p_assistant\7z.dll
%TEMP%\2k10\p_assistant\winchk.exe
%TEMP%\2k10\p_assistant\wimlib-imagex.exe
%TEMP%\2k10\p_assistant\microsoft.vc80.crt.manifest
%TEMP%\2k10\p_assistant\microsoft.vc80.mfc.manifest
%TEMP%\2k10\p_assistant\install.bat
%TEMP%\2k10\p_assistant\upgrade.html
%TEMP%\2k10\p_assistant\lang\en.txt
%TEMP%\2k10\p_assistant\lang\ru.txt
%TEMP%\2k10\p_assistant\eng\cfg.ini
%TEMP%\2k10\p_assistant\cfg.ini
%TEMP%\2k10\p_assistant\language.ini
%TEMP%\2k10\p_assistant\upgrade.ini
%TEMP%\2k10\p_assistant\wnd.ini
<SYSTEM32>\ampa.sys
%TEMP%\2k10\p_assistant\msvcr80.dll
%TEMP%\2k10\p_assistant\manual.pdf
%TEMP%\2k10\p_assistant\bcdboot.exe
%TEMP%\2k10\p_assistant\dyndiskconverter.exe
%TEMP%\2k10\p_assistant\epw.exe
%TEMP%\2k10\p_assistant\help.exe
%TEMP%\2k10\p_assistant\loaddrv.exe
%TEMP%\2k10\p_assistant\loaddrv_win32.exe
%TEMP%\2k10\p_assistant\loaddrv_x64.exe
%TEMP%\2k10\p_assistant\ntfs2fat32.exe
%TEMP%\2k10\p_assistant\partassist.exe
%TEMP%\2k10\p_assistant\peloaddrv.exe
%TEMP%\2k10\p_assistant\sfx-exec.exe
%TEMP%\2k10\p_assistant\2mbr_bcd
%TEMP%\2k10\p_assistant\ambooter.exe
%WINDIR%\temp\udd2bd5.tmp

Удаляет следующие файлы

%WINDIR%\temp\udd2bd5.tmp
%TEMP%\2k10\p_assistant\eng\732\ampa.sys
%TEMP%\2k10\p_assistant\eng\764\ampa.sys
%TEMP%\2k10\p_assistant\eng\cfg.ini
%TEMP%\2k10\p_assistant\eng\xp\ampa.sys

Другое

Создает и запускает на исполнение

'%TEMP%\2k10\p_assistant\partassist.exe'
'<SYSTEM32>\cmd.exe' /c if not exist <SYSTEM32>\ampa.sys copy /y Eng\764\ampa.sys <SYSTEM32>' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c Reg add HKLM\SYSTEM\CurrentControlSet\Services\ampa /v Type /t REG_DWORD /d 1 /f' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c Reg add HKLM\SYSTEM\CurrentControlSet\Services\ampa /v Start /t REG_DWORD /d 3 /f' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c Reg add HKLM\SYSTEM\CurrentControlSet\Services\ampa /v ErrorControl /t REG_DWORD /d 0 /f' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c Reg add HKLM\SYSTEM\CurrentControlSet\Services\ampa /v ImagePath /t REG_EXPAND_SZ /d system32\ampa.sys /f' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c Reg add HKLM\SYSTEM\CurrentControlSet\Services\ampa /v DisplayName /t REG_SZ /d ampa /f' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c if exist "<Текущая директория>\..\..\User.Config\Eng" move /y Eng\*' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c rd /q/s Eng' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c if not exist <SYSTEM32>\ampa.sys copy /y Eng\764\ampa.sys <SYSTEM32>
'%WINDIR%\syswow64\cmd.exe' /c Reg add HKLM\SYSTEM\CurrentControlSet\Services\ampa /v Type /t REG_DWORD /d 1 /f
'%WINDIR%\syswow64\reg.exe' add HKLM\SYSTEM\CurrentControlSet\Services\ampa /v Type /t REG_DWORD /d 1 /f
'%WINDIR%\syswow64\cmd.exe' /c Reg add HKLM\SYSTEM\CurrentControlSet\Services\ampa /v Start /t REG_DWORD /d 3 /f
'%WINDIR%\syswow64\reg.exe' add HKLM\SYSTEM\CurrentControlSet\Services\ampa /v Start /t REG_DWORD /d 3 /f
'%WINDIR%\syswow64\cmd.exe' /c Reg add HKLM\SYSTEM\CurrentControlSet\Services\ampa /v ErrorControl /t REG_DWORD /d 0 /f
'%WINDIR%\syswow64\reg.exe' add HKLM\SYSTEM\CurrentControlSet\Services\ampa /v ErrorControl /t REG_DWORD /d 0 /f
'%WINDIR%\syswow64\cmd.exe' /c Reg add HKLM\SYSTEM\CurrentControlSet\Services\ampa /v ImagePath /t REG_EXPAND_SZ /d system32\ampa.sys /f
'%WINDIR%\syswow64\reg.exe' add HKLM\SYSTEM\CurrentControlSet\Services\ampa /v ImagePath /t REG_EXPAND_SZ /d system32\ampa.sys /f
'%WINDIR%\syswow64\cmd.exe' /c Reg add HKLM\SYSTEM\CurrentControlSet\Services\ampa /v DisplayName /t REG_SZ /d ampa /f
'%WINDIR%\syswow64\reg.exe' add HKLM\SYSTEM\CurrentControlSet\Services\ampa /v DisplayName /t REG_SZ /d ampa /f
'%WINDIR%\syswow64\cmd.exe' /c if exist "<Текущая директория>\..\..\User.Config\Eng" move /y Eng\*
'%WINDIR%\syswow64\cmd.exe' /c rd /q/s Eng