Trojan.Siggen8.54316

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\software\microsoft\windows\currentversion\run] 'MgIUAcAs.exe' = '%HOMEPATH%\tCAQUcIc\MgIUAcAs.exe'
[<HKLM>\software\Wow6432Node\microsoft\windows\currentversion\run] 'uWwQAYoI.exe' = '%PROGRAMDATA%\hWIgsIIc\uWwQAYoI.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = '<SYSTEM32>\userinit.exe,%PROGRAMDATA%\hWIgsIIc\uWwQAYoI.exe,'
[<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = 'userinit.exe,%PROGRAMDATA%\hWIgsIIc\uWwQAYoI.exe,'

Создает следующие сервисы

[<HKLM>\System\CurrentControlSet\Services\LgoQwsEW] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\LgoQwsEW] 'ImagePath' = '%PROGRAMDATA%\bMAwUIEI\fqgAEYsM.exe'

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует отображение:

скрытых файлов
расширений файлов

блокирует:

Средство контроля пользовательских учетных записей (UAC)

Изменения в файловой системе

Создает следующие файлы

<PATH_SAMPLE>ymgd
<Текущая директория>\lkos.exe
<Текущая директория>\omeq.exe
<Текущая директория>\suso.exe
<Текущая директория>\acyo.exe
<Текущая директория>\zsau.exe
<Текущая директория>\fuky.exe
<Текущая директория>\zoui.exe
<Текущая директория>\hsmg.exe
<Текущая директория>\xuqw.exe
<Текущая директория>\hwgg.exe
<Текущая директория>\keac.exe
<Текущая директория>\ooia.exe
<Текущая директория>\zyuk.exe
<Текущая директория>\mkac.exe
<Текущая директория>\qeiu.exe
<Текущая директория>\swqc.exe
<Текущая директория>\seqk.exe
<Текущая директория>\lcsa.exe
<Текущая директория>\jqsc.exe
<Текущая директория>\yeqw.exe
<Текущая директория>\uquo.exe
<Текущая директория>\caiq.exe
<Текущая директория>\ywom.exe
<Текущая директория>\smyc.exe
<Текущая директория>\tyiw.exe
<Текущая директория>\tsmi.exe
<Текущая директория>\iskc.exe
<Текущая директория>\rkgc.exe
<Текущая директория>\xege.exe
<Текущая директория>\lqss.exe
<Текущая директория>\imsq.exe
%PROGRAMDATA%\hwigsiic\uwwqayoi
%HOMEPATH%\tcaqucic\mgiuacas.exe
%PROGRAMDATA%\hwigsiic\uwwqayoi.exe
%PROGRAMDATA%\bmawuiei\fqgaeysm.exe
%PROGRAMDATA%\bmawuiei\fqgaeysmfaaa
%PROGRAMDATA%\hwigsiic\uwwqayoitukf
%HOMEPATH%\tcaqucic\mgiuacasblqi
%WINDIR%\syswow64\config\systemprofile\tcaqucic\mgiuacas
%TEMP%\xcssyaey.bat
<PATH_SAMPLE>
%PROGRAMDATA%\pacu.txt
<Текущая директория>\jago.exe
<Текущая директория>\qkma.exe
<Текущая директория>\boma.exe
<Текущая директория>\jiym.exe
<Текущая директория>\byeu.exe
<Текущая директория>\ayeu.exe
<Текущая директория>\xsww.exe
<Текущая директория>\lcso.exe
<Текущая директория>\ryqm.exe
<Текущая директория>\viim.exe
<Текущая директория>\duis.exe
<Текущая директория>\icku.exe
<Текущая директория>\ikac.exe
<Текущая директория>\wiaa.exe
<Текущая директория>\lcqa.exe
<Текущая директория>\kuyo.exe
%HOMEPATH%\tcaqucic\mgiuacas
<Текущая директория>\qgyi.exe
<Текущая директория>\fqaq.exe

Удаляет следующие файлы

<PATH_SAMPLE>ymgd
<Текущая директория>\zsau.exe
<Текущая директория>\fuky.exe
<Текущая директория>\zoui.exe
<Текущая директория>\hsmg.exe
<Текущая директория>\xuqw.exe
<Текущая директория>\hwgg.exe
<Текущая директория>\keac.exe
<Текущая директория>\ooia.exe
<Текущая директория>\mkac.exe
<Текущая директория>\boma.exe
<Текущая директория>\ryqm.exe
<Текущая директория>\qeiu.exe
<Текущая директория>\seqk.exe
<Текущая директория>\lcsa.exe
<Текущая директория>\jqsc.exe
<Текущая директория>\yeqw.exe
<Текущая директория>\uquo.exe
<Текущая директория>\caiq.exe
<Текущая директория>\ywom.exe
<Текущая директория>\smyc.exe
<Текущая директория>\tyiw.exe
<Текущая директория>\tsmi.exe
<Текущая директория>\suso.exe
<Текущая директория>\acyo.exe
<Текущая директория>\omeq.exe
<Текущая директория>\lkos.exe
<Текущая директория>\rkgc.exe
%PROGRAMDATA%\hwigsiic\uwwqayoitukf
%HOMEPATH%\tcaqucic\mgiuacasblqi
%TEMP%\xcssyaey.bat
<Текущая директория>\jago.exe
<Текущая директория>\jiym.exe
<Текущая директория>\zyuk.exe
<Текущая директория>\qgyi.exe
<Текущая директория>\byeu.exe
<Текущая директория>\ayeu.exe
<Текущая директория>\xsww.exe
<Текущая директория>\qkma.exe
<Текущая директория>\swqc.exe
<Текущая директория>\lcso.exe
<Текущая директория>\duis.exe
<Текущая директория>\icku.exe
<Текущая директория>\ikac.exe
<Текущая директория>\wiaa.exe
<Текущая директория>\lcqa.exe
<Текущая директория>\kuyo.exe
<Текущая директория>\imsq.exe
<Текущая директория>\lqss.exe
<Текущая директория>\xege.exe
<Текущая директория>\iskc.exe
%PROGRAMDATA%\bmawuiei\fqgaeysmfaaa
<Текущая директория>\viim.exe
<Текущая директория>\fqaq.exe

Подменяет следующие файлы

<PATH_SAMPLE>ymgd

Сетевая активность

TCP

Запросы HTTP GET

http://google.com/

UDP

DNS ASK google.com

Другое

Ищет следующие окна

ClassName: '' WindowName: 'MgIUAcAs.exe'
ClassName: '' WindowName: 'Microsoft Windows'
ClassName: '' WindowName: 'uWwQAYoI.exe'

Создает и запускает на исполнение

'%HOMEPATH%\tcaqucic\mgiuacas.exe'
'%PROGRAMDATA%\hwigsiic\uwwqayoi.exe'
'%PROGRAMDATA%\bmawuiei\fqgaeysm.exe'
'%WINDIR%\syswow64\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v HideFileExt /t REG_DWORD /d 1' (со скрытым окном)
'%WINDIR%\syswow64\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v Hidden /t REG_DWORD /d 2' (со скрытым окном)
'%WINDIR%\syswow64\reg.exe' add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /d 0 /t REG_DWORD /f' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c "<PATH_SAMPLE>"
'%WINDIR%\syswow64\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v HideFileExt /t REG_DWORD /d 1
'%WINDIR%\syswow64\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v Hidden /t REG_DWORD /d 2
'%WINDIR%\syswow64\reg.exe' add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /d 0 /t REG_DWORD /f
'<SYSTEM32>\vssvc.exe'
'<SYSTEM32>\svchost.exe' -k swprv

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней