Trojan.Siggen8.61719

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'WindowsUpdate' = '%TEMP%\54831279\nhtxgwxm.cmd %TEMP%\54831279\SBWJOL~1.ROD'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'appgfx' = '%APPDATA%\appgfx\appgfx.exe'

Вредоносные функции

Внедряет код в

следующие системные процессы:

%WINDIR%\microsoft.net\framework\v4.0.30319\regsvcs.exe

Ищет ветки реестра, отвечающие за хранение паролей сторонними программами

[<HKCU>\Software\RimArts\B2\Settings]
[<HKCU>\SOFTWARE\Martin Prikryl\WinSCP 2\Sessions]
[<HKCU>\Software\FTPWare\COREFTP\Sites]

Читает файлы, отвечающие за хранение паролей сторонними программами

%APPDATA%\thunderbird\profiles.ini
<LS_APPDATA>\google\chrome\user data\default\cookies

Изменения в файловой системе

Создает следующие файлы

%TEMP%\54831279\dgjlihvc.ppt
%TEMP%\54831279\rbvhevssxa.dll
%TEMP%\54831279\gowsfonh.bmp
%TEMP%\54831279\vvdo.bin
%TEMP%\54831279\tluxae.ico
%TEMP%\54831279\jufnvgqim.mp3
%TEMP%\54831279\xkhnfoh.xls
%TEMP%\54831279\dqkov.jpg
%TEMP%\54831279\cphsp.docx
%TEMP%\54831279\uiasxlxvn.txt
%TEMP%\54831279\eqbsbk.ico
%TEMP%\54831279\rofxqo.xml
%TEMP%\54831279\flfwspqux.dll
%TEMP%\54831279\beilndq.cpl
%TEMP%\54831279\mmtcrh.ppt
%TEMP%\54831279\fcij.pdf
%TEMP%\54831279\plmjpjp.jpg
%TEMP%\54831279\jswtmqonfa.icm
%APPDATA%\2zaaqr51.jbq\firefox\profiles\gn7ryp3k.default\cookies.sqlite
%APPDATA%\2zaaqr51.jbq\opera\cookies
%APPDATA%\2zaaqr51.jbq\chrome\default\cookies
<LS_APPDATA>\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
%PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
%PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
%PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
%APPDATA%\appgfx\appgfx.exe
%HOMEPATH%\temp\dgjlihvc.ppt
%TEMP%\54831279\qnhaag.mp3
%TEMP%\54831279\vwtj.xl
%TEMP%\54831279\ldwmnchke.pdf
%TEMP%\54831279\ebmejmiu.docx
%TEMP%\54831279\umlc.mp3
%TEMP%\54831279\xjikqxowg.dat
%TEMP%\54831279\wihlxs.bin
%TEMP%\54831279\qcssa.docx
%TEMP%\54831279\dmdrplfcqc.dll
%TEMP%\54831279\xoagwxgx.bin
%TEMP%\54831279\nbbken.icm
%TEMP%\54831279\bime.exe
%TEMP%\54831279\pgeckne.xl
%TEMP%\54831279\luogqhma.ico
%TEMP%\54831279\khgd.mp3
%TEMP%\54831279\civthfja.ico
%TEMP%\54831279\ouci.xls
%TEMP%\54831279\fhxmdh.dll
%TEMP%\54831279\mara.pdf
%TEMP%\54831279\ohmdmh.xml
%TEMP%\54831279\ciqffm.xml
%TEMP%\54831279\qxenxp.bin
%TEMP%\54831279\ncvgskqj.xl
%TEMP%\54831279\jrpbpvnxeo.dll
%TEMP%\54831279\nhtxgwxm.cmd
%TEMP%\54831279\sbwjolqgbr.rod
%APPDATA%\2zaaqr51.jbq\thunderbird\profiles\wjj9aet2.default\cookies.sqlite
%TEMP%\54831279\pxvex.icm
%TEMP%\54831279\tsanv.bin
%TEMP%\54831279\nakrkgrsjj.bmp
%TEMP%\54831279\ebor.txt
%TEMP%\54831279\ogeokdc.ico
%TEMP%\54831279\xtbfjrvoh.bin
%TEMP%\54831279\btchx.ppt
%TEMP%\54831279\cldvks.pdf
%TEMP%\54831279\wpvwdot.ini
%TEMP%\54831279\skmxivu.xml
%TEMP%\54831279\npofqpdk.msc
%TEMP%\54831279\ogjead.log
%TEMP%\54831279\qhdvfwx.mp3
%TEMP%\54831279\hoxkelqex.icm
%TEMP%\54831279\uhqcln.cpl
%TEMP%\54831279\dgxnsh.xls
%TEMP%\54831279\slabu.log
%TEMP%\54831279\adnpblxmol.dat
%TEMP%\54831279\xiss.exe
%APPDATA%\2zaaqr51.jbq.zip