Trojan.Siggen3.7613

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = '<SYSTEM32>\userinit.exe,,%PROGRAM_FILES%\microsoft\watermark.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Starter' = '<SYSTEM32>\msng.exe'

Заражает следующие исполняемые системные файлы:

Создает следующие файлы на съемном носителе:

<Имя диска съемного носителя>:\RECYCLER\Documents.exe
<Имя диска съемного носителя>:\RECYCLER\S-6-4-27-0040867061-7541644820-538124840-4777\Clips.exe
<Имя диска съемного носителя>:\rybwpw.exe
<Имя диска съемного носителя>:\My Folder.exe
<Имя диска съемного носителя>:\RECYCLER\S-6-4-27-0040867061-7541644820-538124840-4777\vhdiXrpZ.exe
<Имя диска съемного носителя>:\autorun.inf
<Имя диска съемного носителя>:\RECYCLER\S-6-4-27-0040867061-7541644820-538124840-4777\gtCqWGxO.cpl

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<SYSTEM32>\winlogon.exe' = '<SYSTEM32>\winlogon.exe:*:enabled:@shell32.dll,-1'
<Служебный элемент>
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<SYSTEM32>\Rundll32.exe' = '<SYSTEM32>\Rundll32.exe:*:Enabled:ipsec'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DisableNotifications' = '00000001'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<Полный путь к вирусу>' = '<Полный путь к вирусу>:*:Enabled:ipsec'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'

Для затруднения выявления своего присутствия в системе

блокирует отображение:

блокирует:

Создает и запускает на исполнение:

Запускает на исполнение:

Внедряет код в

следующие системные процессы:

большое количество пользовательских процессов.

Устраняет перехваты фукнций в SSDT (System Service Descriptor Table).

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\winqaxyw.exe
%TEMP%\wingcbyjc.exe
<DRIVERS>\ikhvf.sys
%TEMP%\Temporary Internet Files\Content.IE5\O7M9ST8V\desktop.ini
%TEMP%\History\History.IE5\desktop.ini
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP15\RestorePointSize
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\fifo.log
C:\ytbwjo.pif
%TEMP%\wingquno.exe
C:\autorun.inf
<SYSTEM32>\rundII32.exe
C:\~0002ftd.tmp
%PROGRAM_FILES%\Microsoft\WaterMark.exe
<Текущая директория>\<Имя вируса>Srv.exe
<SYSTEM32>\msng.exe
%TEMP%\Temporary Internet Files\Content.IE5\WXMZ0DE3\desktop.ini
%TEMP%\Temporary Internet Files\Content.IE5\AQF3X6UP\desktop.ini
%TEMP%\Temporary Internet Files\Content.IE5\GIOXW5KF\desktop.ini
<SYSTEM32>\dmlconf.dat
%TEMP%\Temporary Internet Files\Content.IE5\desktop.ini