Trojan.Siggen9.11639

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'b9d971e1bada0e2d079f7a96cf08ef75' = '"%WINDIR%\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe" ..'
[<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'b9d971e1bada0e2d079f7a96cf08ef75' = '"%WINDIR%\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe" ..'

Создает или изменяет следующие файлы

%APPDATA%\microsoft\windows\start menu\programs\startup\hjdytuap.exe

Вредоносные функции

Запускает на исполнение

'%WINDIR%\syswow64\netsh.exe' firewall add allowedprogram "%WINDIR%\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe" "RegAsm.exe" ENABLE

Внедряет код в

следующие системные процессы:

%WINDIR%\microsoft.net\framework\v4.0.30319\regasm.exe

Завершает или пытается завершить

следующие системные процессы:

%WINDIR%\microsoft.net\framework\v4.0.30319\regasm.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\ixp000.tmp\vcdugwtlpnbtlrohma5.exe
%TEMP%\csc8f1b5bed2a134974beaf263dea39985.tmp
%TEMP%\c5gun525.out
%TEMP%\c5gun525.cmdline
%TEMP%\c5gun525.0.cs
%TEMP%\ycbqvjk5.dll
%TEMP%\resabf1.tmp
%TEMP%\csc4f9ccca71be441ea83a57548803c94f3.tmp
%TEMP%\ycbqvjk5.out
%TEMP%\ycbqvjk5.cmdline
%TEMP%\ycbqvjk5.0.cs
%HOMEPATH%\chrome.exe
%HOMEPATH%\vcdugwtlpnbtlrohma5
%TEMP%\patfoycj.dll
%TEMP%\res9f3f.tmp
%TEMP%\csceb28445010584453a951436b75feec81.tmp
%TEMP%\patfoycj.out
%TEMP%\patfoycj.cmdline
%TEMP%\patfoycj.0.cs
%TEMP%\tbdpv1jv.dll
%TEMP%\res9afa.tmp
%TEMP%\csc5783a1b2b6e54fc2879aa97028614ed.tmp
%TEMP%\tbdpv1jv.out
%TEMP%\tbdpv1jv.cmdline
%TEMP%\tbdpv1jv.0.cs
%TEMP%\ixp000.tmp\vcdugwtlpnbtlrohma5
%TEMP%\resaf6c.tmp
%TEMP%\c5gun525.dll

Удаляет следующие файлы

%TEMP%\res9afa.tmp
%TEMP%\c5gun525.0.cs
%TEMP%\c5gun525.out
%TEMP%\c5gun525.cmdline
%TEMP%\csc8f1b5bed2a134974beaf263dea39985.tmp
%TEMP%\resaf6c.tmp
%TEMP%\ycbqvjk5.dll
%TEMP%\ycbqvjk5.cmdline
%TEMP%\ycbqvjk5.out
%TEMP%\ycbqvjk5.0.cs
%TEMP%\csc4f9ccca71be441ea83a57548803c94f3.tmp
%TEMP%\c5gun525.dll
%TEMP%\resabf1.tmp
%TEMP%\patfoycj.0.cs
%TEMP%\patfoycj.cmdline
%TEMP%\patfoycj.dll
%TEMP%\csceb28445010584453a951436b75feec81.tmp
%TEMP%\res9f3f.tmp
%TEMP%\tbdpv1jv.out
%TEMP%\tbdpv1jv.0.cs
%TEMP%\tbdpv1jv.cmdline
%TEMP%\tbdpv1jv.dll
%TEMP%\csc5783a1b2b6e54fc2879aa97028614ed.tmp
%TEMP%\patfoycj.out
%TEMP%\ixp000.tmp\vcdugwtlpnbtlrohma5

Сетевая активность

TCP

'ca#####na.duckdns.org':1992

UDP

DNS ASK ca#####na.duckdns.org

Другое

Создает и запускает на исполнение

'%TEMP%\ixp000.tmp\vcdugwtlpnbtlrohma5.exe'
'%TEMP%\ixp000.tmp\vcdugwtlpnbtlrohma5.exe' ' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\tbdpv1jv.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9AFA.tmp" "%TEMP%\CSC5783A1B2B6E54FC2879AA97028614ED.TMP"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\patfoycj.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9F3F.tmp" "%TEMP%\CSCEB28445010584453A951436B75FEEC81.TMP"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\ycbqvjk5.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESABF1.tmp" "%TEMP%\CSC4F9CCCA71BE441EA83A57548803C94F3.TMP"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\c5gun525.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESAF6C.tmp" "%TEMP%\CSC8F1B5BED2A134974BEAF263DEA39985.TMP"' (со скрытым окном)
'%WINDIR%\syswow64\netsh.exe' firewall add allowedprogram "%WINDIR%\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe" "RegAsm.exe" ENABLE' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\tbdpv1jv.cmdline"
'%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9AFA.tmp" "%TEMP%\CSC5783A1B2B6E54FC2879AA97028614ED.TMP"
'%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\patfoycj.cmdline"
'%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9F3F.tmp" "%TEMP%\CSCEB28445010584453A951436B75FEEC81.TMP"
'%WINDIR%\microsoft.net\framework\v4.0.30319\regasm.exe'
'%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\ycbqvjk5.cmdline"
'%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESABF1.tmp" "%TEMP%\CSC4F9CCCA71BE441EA83A57548803C94F3.TMP"
'%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\c5gun525.cmdline"
'%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESAF6C.tmp" "%TEMP%\CSC8F1B5BED2A134974BEAF263DEA39985.TMP"