Trojan.Siggen9.9822

Техническая информация

Для обеспечения автозапуска и распространения

Создает следующие сервисы

[<HKLM>\System\CurrentControlSet\Services\553E1QpFe] 'Start' = '00000001'
[<HKLM>\System\CurrentControlSet\Services\553E1QpFe] 'ImagePath' = '%WINDIR%\SysWOW64\553E1QpFe.sys'

Вредоносные функции

Для затруднения выявления своего присутствия в системе

изменяет следующие системные настройки:

Изменяет DNS-сервер на '114.114.114.114'
Изменяет DNS-сервер на '<DNS_SERVER>'

Внедряет код в

следующие пользовательские процессы:

d1b16a5.exe

Изменения в файловой системе

Создает следующие файлы

%HOMEPATH%\desktop\<Имя файла>.lnk
<Текущая директория>\f9931ea6\be5b5e9820b\ef3326b63\6122s2ttk.dll
<Текущая директория>\f9931ea6\be5b5e9820b\cba3f3544\5874lyypp.dll
<Текущая директория>\f9931ea6\be5b5e9820b\g93ae00a\d1b16a5.ini
<Текущая директория>\f9931ea6\e88ae30\e1505wwnn.dll
<Текущая директория>\f9931ea6\ga8c5f0\55ed6yypp.dll
<Текущая директория>\f9931ea6\ibd8543\3dd82uull.dll
<Текущая директория>\f9931ea6\c59e54605f1\ea53qqhh7.dll
<Текущая директория>\f9931ea6\fc462e76fa\59d6xophi.dll
<Текущая директория>\f9931ea6\e143d38\9cdwypof.dll
<Текущая директория>\f9931ea6\be5b5e9820b\ef3326b63\9e5eab1ss.dll
<Текущая директория>\f9931ea6\be5b5e9820b\g1a4f10\51acaa0ss.dll
<Текущая директория>\f9931ea6\be5b5e9820b\dad4980d65\d92cttkkb.dll
<Текущая директория>\f9931ea6\be5b5e9820b\jb334ae1f\5844uullc.dll
<Текущая директория>\f9931ea6\be5b5e9820b\d32ba448c\e8a3rjjaa.dll
<Текущая директория>\f9931ea6\be5b5e9820b\cabbc8e\7127qrii8.dll
<Текущая директория>\f9931ea6\be5b5e9820b\cba3f3544\195aogg6x.dll
<Текущая директория>\f9931ea6\cead6132574b
%LOCALAPPDATA%\microsoft\windows\history\history.ie5\mshist012020020820200209\index.dat
%ProgramFiles(x86)%\mirc\d1b16a5.exe
%WINDIR%\syswow64\553e1qpfe.sys
<DRIVERS>\5zzevq2x.sys

Удаляет следующие файлы

%LOCALAPPDATA%\microsoft\windows\history\history.ie5\mshist012020020820200209\index.dat
<Текущая директория>\f9931ea6\cead6132574b
<Текущая директория>\f9931ea6\be5b5e9820b\cba3f3544\195aogg6x.dll
<Текущая директория>\f9931ea6\be5b5e9820b\ef3326b63\9e5eab1ss.dll
<DRIVERS>\etc\hosts

Подменяет следующие файлы

<Текущая директория>\f9931ea6\cead6132574b
<Текущая директория>\f9931ea6\be5b5e9820b\cba3f3544\195aogg6x.dll
<Текущая директория>\f9931ea6\be5b5e9820b\ef3326b63\9e5eab1ss.dll

Сетевая активность

TCP

Запросы HTTP GET

http://www.ba##u.com/
http://os#.##iyungx.com/updata64.php?t=#######
http://os#.##iyungx.com/exeFeatureCode.rar
http://os#.##iyungx.com/md5exe.rar
http://os#.##iyungx.com/listh.rar
http://os#.##iyungx.com/xinlistj.rar
http://os#.##iyungx.com/data.php?t=#####
http://si###torage.cn/question/dns.txt
http://11#.#9.29.29/d?dn###############
http://18#.#54.116.116/d?dn###############
http://si###loud.net/question/PrsProt64.rar
http://si###loud.net/question/B64d.rar
http://si###torage.com/question/dpkp28109.rar
http://si###loud.net/question/pl13890.rar
http://si###loud.net/question/vc8
http://si###torage.cn/question/jdgg.txt
http://co####5.51yes.com/sa.htm?id###############################################################################################################################################################...
http://co####5.51yes.com/click.aspx?id##################
http://ji#####.yaotongji.com:8080/ via ji#####.yaotongji.com
http://jd##.######-zhangjiakou.aliyuncs.com/no.png
http://jd##.######-zhangjiakou.aliyuncs.com/sf.html
http://bj##me.cn/nt.asp
http://si###torage.com/question/data.txt
http://si###torage.com/question/xinjdsfnx.txt
http://os#.##iyungx.com/updata64.rar
http://oc##.thawte.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBQwF4prw9S7mCbCEHD%2Fyl6nWPkczAQUe1tFz6%2FOy3r9MZIaarbzRutXSFACEEeXTXhzpbyrDS%2BzcBkvzl4%3D