Trojan.Siggen8.52773

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Adobe QuikInstall' = '%APPDATA%\Adobe\Adobe QuikInstall.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'd3dx32' = 'C:\Media\System.lnk'

Создает или изменяет следующие файлы

%APPDATA%\microsoft\windows\start menu\programs\startup\system.lnk
%APPDATA%\microsoft\windows\start menu\programs\startup\bkphst32.lnk
%APPDATA%\microsoft\windows\start menu\programs\startup\winlog.lnk

Изменения в файловой системе

Создает следующие файлы

C:\media\lpkfys6v9mcrjlwtipay.exe
%APPDATA%\notepad\vmcheck32.dll
%APPDATA%\obsidium\runtime broker.exe
%APPDATA%\vortex\securityhealthservice.exe
%APPDATA%\sun\yourphone.exe
%APPDATA%\obsidium\watchdog.data
%APPDATA%\vortex\watchdog.data
%APPDATA%\sun\watchdog.data
%APPDATA%\adobe\adobe quikinstall.exe
%HOMEPATH%\pictures\bkphst32.exe
%HOMEPATH%\pictures\bkphst32.lnk
%HOMEPATH%\pictures\vmcheck32.dll
C:\media\winlog.lnk
%APPDATA%\notepad\system.vbe
%TEMP%\dclib\5d28224fb0abae80e07db6b08e58b07ea9eb5238.dclib
%TEMP%\dclib\ak_33db8088017dd3ba0d1f7d0d6d211cb82b9f06dd.dclib
%TEMP%\dclib\antivm.dclib
%TEMP%\dclib\antiwindowsdefender.dclib
%TEMP%\dclib\as_c07f7472ed0469e66b90bea3f8afee0ab215080e.dclib
%TEMP%\pfwvfgixvun.tmp
%APPDATA%\notepad\fontreview.exe
%TEMP%\5havg5m0a1q.tmp
C:\media\system.lnk
C:\media\fontreview.exe
C:\media\1o1xip203nthqgfhfushlaz7pcheg9.vbs
C:\media\czrip5oakjombxc4vgfsnlufe8icxu.bat
C:\media\dclib\5d28224fb0abae80e07db6b08e58b07ea9eb5238.dclib
C:\media\dclib\ak_33db8088017dd3ba0d1f7d0d6d211cb82b9f06dd.dclib
C:\media\dclib\antivm.dclib
C:\media\dclib\antiwindowsdefender.dclib
C:\media\dclib\as_c07f7472ed0469e66b90bea3f8afee0ab215080e.dclib
C:\media\e6ee5674bb9446c78bbc5729af6e2c28.exe
C:\media\msg.vbs
C:\media\mos
C:\media\2e62f654bcdde139d74282f5fd2a531696cae5cf
C:\media\dogs\adobe quikinstall.exe
C:\media\dogs\runtime broker.exe
C:\media\dogs\securityhealthservice.exe
C:\media\dogs\yourphone.exe
C:\media\starter.exe
C:\media\watchdog.data
C:\media\1rakusuyqf4wfrsmwg4orutkff14kt.bat
C:\media\vmcheck32.dll
C:\media\system.vbe
%TEMP%\jbi53ucutt5.tmp

Удаляет следующие файлы

%TEMP%\5havg5m0a1q.tmp
%TEMP%\jbi53ucutt5.tmp

Сетевая активность

TCP

Запросы HTTP GET

http://u0######.isp.regruhosting.ru/5wqt8rd9mv92hbyo06hei54v8uj4z132ij1zngp4jxt3y0em7/g80ic9cvkaz7gth7ewu615q93l0hu84v4a6twjb2q428n4yk0vyssm92o6mutyd7r/d69d3cc20a8683f938560d6fe078f15ec7fc892b....
http://u0######.isp.regruhosting.ru/5wqt8rd9mv92hbyo06hei54v8uj4z132ij1zngp4jxt3y0em7/g80ic9cvkaz7gth7ewu615q93l0hu84v4a6twjb2q428n4yk0vyssm92o6mutyd7r/z5mnhbyjjg5lngmsw6vjpkfvcuxbdwu8qm11p0y8u...
http://ip##fo.io/ip
http://si#e.ru/proxy.txt

UDP

DNS ASK u0######.isp.regruhosting.ru
DNS ASK ip##fo.io
DNS ASK si#e.ru

Другое

Ищет следующие окна

ClassName: 'EDIT' WindowName: ''

Создает и запускает на исполнение

'%WINDIR%\syswow64\wscript.exe' "C:\Media\1o1XIp203NtHQgfhfUSHLaz7PcHeg9.vbs"
'C:\media\lpkfys6v9mcrjlwtipay.exe' -p21e12a37b0d94e334898629618823680a77ff400
'%WINDIR%\syswow64\wscript.exe' "C:\Media\System.vbe"
'%WINDIR%\syswow64\wscript.exe' "C:\Media\msg.vbs"
'C:\media\starter.exe'
'C:\media\e6ee5674bb9446c78bbc5729af6e2c28.exe'
'C:\media\fontreview.exe'
'%APPDATA%\adobe\adobe quikinstall.exe'
'%APPDATA%\vortex\securityhealthservice.exe'
'%APPDATA%\sun\yourphone.exe'
'%WINDIR%\syswow64\cmd.exe' /c ""C:\Media\CzriP5oAkJOmBxc4vGfsNLuFE8ICXU.bat" "' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ""C:\Media\1RAKuSUYQf4WfRsmwg4ORUtKfF14Kt.bat" "' (со скрытым окном)
'C:\media\e6ee5674bb9446c78bbc5729af6e2c28.exe' ' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /C %APPDATA%\Obsidium\Runtime Broker.exe' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /C %APPDATA%\Vortex\SecurityHealthService.exe' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /C %APPDATA%\Sun\YourPhone.exe' (со скрытым окном)