Trojan.Siggen9.12263

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\SYSTEM\CurrentControlSet\Control\Session Manager] 'BootExecute' = 'autocheck autochk *'

Создает следующие сервисы

[<HKLM>\System\CurrentControlSet\Services\ampa] 'ImagePath' = '<SYSTEM32>\ampa.sys'

Вредоносные функции

Читает файлы, отвечающие за хранение паролей сторонними программами

%HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx
%HOMEPATH%\desktop\contoso_1.cer
%HOMEPATH%\desktop\dashborder_192.bmp
%HOMEPATH%\desktop\february_catalogue__2015.doc
%HOMEPATH%\desktop\holycrosschurchinstructions.docx
%HOMEPATH%\desktop\join.avi
%HOMEPATH%\desktop\lisp_success.doc
%HOMEPATH%\desktop\nwfieldnotes1966.docx
%HOMEPATH%\desktop\testee.cer

Изменения в файловой системе

Создает следующие файлы

%TEMP%\7zipsfx.000\2gpt_bcd
%TEMP%\7zipsfx.000\html\index2-fr.html
%TEMP%\7zipsfx.000\html\index2-jp.html
%TEMP%\7zipsfx.000\html\index2.html
%TEMP%\7zipsfx.000\html\lite.html
%TEMP%\7zipsfx.000\html\reg.html
%TEMP%\7zipsfx.000\install.bat
%TEMP%\7zipsfx.000\lang\en.txt
%TEMP%\7zipsfx.000\lang\ko.txt
%TEMP%\7zipsfx.000\language.ini
%TEMP%\7zipsfx.000\license.rtf
%TEMP%\7zipsfx.000\html\index.html
%TEMP%\7zipsfx.000\html\index2-de.html
%TEMP%\7zipsfx.000\manual.pdf
%TEMP%\7zipsfx.000\other.ini
%TEMP%\7zipsfx.000\pacfg.ini
%TEMP%\7zipsfx.000\readme.rtf
%TEMP%\7zipsfx.000\starter.cmd
%TEMP%\7zipsfx.000\uninstall.bat
%TEMP%\7zipsfx.000\winpeshl.ini
%TEMP%\7zipsfx.000\wnd.ini
%TEMP%\7zipsfx.000\7z.dll
%TEMP%\7zipsfx.000\7z.exe
%TEMP%\7zipsfx.000\ambooter.exe
%TEMP%\7zipsfx.000\microsoft.vc80.crt.manifest
%TEMP%\7zipsfx.000\microsoft.vc80.mfc.manifest
%TEMP%\7zipsfx.000\bcdboot.exe
%TEMP%\7zipsfx.000\autodisplay.exe
%TEMP%\7zipsfx.000\html\index-de.html
%TEMP%\7zipsfx.000\html\img\icon_support.png
%TEMP%\7zipsfx.000\html\img\icon_technical_support.png
%TEMP%\7zipsfx.000\html\img\icon_trust.png
%TEMP%\7zipsfx.000\html\img\icon_unfold.png
%TEMP%\7zipsfx.000\html\img\icon_upgrade.png
%TEMP%\7zipsfx.000\html\img\icon_x.png
%TEMP%\7zipsfx.000\html\img\img_upgrades.png
%TEMP%\7zipsfx.000\html\img\logo_pa.png
%TEMP%\7zipsfx.000\html\img\merge-partitions.png
%TEMP%\7zipsfx.000\html\index-fr.html
%TEMP%\7zipsfx.000\html\img\icon_receive.png
%TEMP%\7zipsfx.000\html\index-jp.html
%TEMP%\7zipsfx.000\html\img\migrate-os.png
%TEMP%\7zipsfx.000\html\img\rebuild.png
%TEMP%\7zipsfx.000\html\img\resize-move.png
%TEMP%\7zipsfx.000\html\img\split-partition.png
%TEMP%\7zipsfx.000\html\img\split_small.png
%TEMP%\7zipsfx.000\html\img\tb-bg.png
%TEMP%\7zipsfx.000\html\img\up.jpg
%TEMP%\7zipsfx.000\html\img\wintogo-s.png
%TEMP%\7zipsfx.000\html\img\wipe-disk.png
%TEMP%\7zipsfx.000\html\img\wipe_hard_small_normal.png
%TEMP%\7zipsfx.000\html\img\partition-alignment.png
%TEMP%\7zipsfx.000\html\img\quick-partition.png
%TEMP%\7zipsfx.000\html\img\rebuild(1).png
%TEMP%\7zipsfx.000\html\demo.html
%TEMP%\7zipsfx.000\botva2.dll
%TEMP%\7zipsfx.000\pe\driver\i386\msahci.sys
%TEMP%\7zipsfx.000\pthreadgc2.dll
%TEMP%\7zipsfx.000\scanpartition.dll
%TEMP%\7zipsfx.000\setupgreen32.exe
%TEMP%\7zipsfx.000\setupgreen64.exe
%TEMP%\7zipsfx.000\ssdsecurityerase.dll
%TEMP%\7zipsfx.000\starter.exe
%TEMP%\7zipsfx.000\uninstallab.dll
%TEMP%\7zipsfx.000\upgradeshow.dll
%TEMP%\7zipsfx.000\version.dll
%TEMP%\7zipsfx.000\pe\driver\amd64\msahci.sys
%TEMP%\7zipsfx.000\vhdmgr.dll
%TEMP%\7zipsfx.000\peloaddrv.exe
%TEMP%\7zipsfx.000\wimgapi.dll
%TEMP%\7zipsfx.000\wimmgr.dll
%TEMP%\7zipsfx.000\winchk.exe
%TEMP%\7zipsfx.000\wintogo.exe
%TEMP%\7zipsfx.000\log\reg.log
%PROGRAMDATA%\aomeibr\comn.ini
%WINDIR%\ga_of.dat
%TEMP%\7zipsfx.000\log\ampa0.log
%WINDIR%\syswow64\ampa.sys
<SYSTEM32>\ampa.sys
%TEMP%\7zipsfx.000\webctrl.dll
%TEMP%\7zipsfx.000\pe.dll
%TEMP%\7zipsfx.000\wimlib-imagex.exe
%TEMP%\7zipsfx.000\pathformat.dll
%TEMP%\7zipsfx.000\partassist.exe
%TEMP%\7zipsfx.000\dyndiskconverter.exe
%TEMP%\7zipsfx.000\exfat.dll
%TEMP%\7zipsfx.000\garunonce.exe
%TEMP%\7zipsfx.000\gptbcd.dll
%TEMP%\7zipsfx.000\help.exe
%TEMP%\7zipsfx.000\iconv.dll
%TEMP%\7zipsfx.000\libgcc_s_sjlj-1.dll
%TEMP%\7zipsfx.000\libwim-15.dll
%TEMP%\7zipsfx.000\libxml2-2.dll
%TEMP%\7zipsfx.000\loaddrv,1.exe
%TEMP%\7zipsfx.000\loaddrv_win32.exe
%TEMP%\7zipsfx.000\loaddrv_x64.exe
%TEMP%\7zipsfx.000\epw.exe
%TEMP%\7zipsfx.000\mfc80.dll
%TEMP%\7zipsfx.000\mfcm80.dll
%TEMP%\7zipsfx.000\mfcm80u.dll
%TEMP%\7zipsfx.000\msvcm80.dll
%TEMP%\7zipsfx.000\msvcp80.dll
%TEMP%\7zipsfx.000\msvcr80.dll
%TEMP%\7zipsfx.000\native\w2k\x86\fre\ampa.sys
%TEMP%\7zipsfx.000\native\wlh\amd64\fre\ampa.sys
%TEMP%\7zipsfx.000\native\wlh\x86\fre\ampa.sys
%TEMP%\7zipsfx.000\native\wnet\amd64\fre\ampa.sys
%TEMP%\7zipsfx.000\ntfs2fat32.exe
%TEMP%\7zipsfx.000\html\img\icon_note.png
%TEMP%\7zipsfx.000\mfc80u.dll
%TEMP%\7zipsfx.000\html\img\icon_star.png
%TEMP%\7zipsfx.000\html\img\icon_immediate.png
%TEMP%\7zipsfx.000\html\img\icon_email.png
%TEMP%\7zipsfx.000\html\img\icon_d.png
%TEMP%\7zipsfx.000\doc\main.html
%TEMP%\7zipsfx.000\doc\merge.html
%TEMP%\7zipsfx.000\doc\migrate.html
%TEMP%\7zipsfx.000\doc\n2f.html
%TEMP%\7zipsfx.000\doc\partalign.html
%TEMP%\7zipsfx.000\doc\partrecovery.html
%TEMP%\7zipsfx.000\doc\password.html
%TEMP%\7zipsfx.000\doc\prilog.html
%TEMP%\7zipsfx.000\doc\properties.html
%TEMP%\7zipsfx.000\doc\integratetorecoveryenv.html
%TEMP%\7zipsfx.000\doc\index.html
%TEMP%\7zipsfx.000\doc\letter.html
%TEMP%\7zipsfx.000\doc\quick-partition.html
%TEMP%\7zipsfx.000\doc\serial.html
%TEMP%\7zipsfx.000\doc\split.html
%TEMP%\7zipsfx.000\doc\ssdsecureerase.html
%TEMP%\7zipsfx.000\doc\style.css
%TEMP%\7zipsfx.000\doc\support.html
%TEMP%\7zipsfx.000\doc\surface.html
%TEMP%\7zipsfx.000\doc\typeid.html
%TEMP%\7zipsfx.000\doc\wipe.html
%TEMP%\7zipsfx.000\doc\wipedisk.html
%TEMP%\7zipsfx.000\doc\rebootmode.html
%TEMP%\7zipsfx.000\doc\rebuildmbr.html
%TEMP%\7zipsfx.000\doc\resize.html
%TEMP%\7zipsfx.000\doc\initdisk.html
%TEMP%\7zipsfx.000\doc\images\headfill.png
%TEMP%\7zipsfx.000\doc\wipepart.html
%TEMP%\7zipsfx.000\cfg.i
%TEMP%\7zipsfx.000\cfg.ini
%TEMP%\7zipsfx.000\doc\about.html
%TEMP%\7zipsfx.000\doc\active.html
%TEMP%\7zipsfx.000\doc\allocate.html
%TEMP%\7zipsfx.000\doc\bootcd.html
%TEMP%\7zipsfx.000\doc\check.html
%TEMP%\7zipsfx.000\doc\clear.html
%TEMP%\7zipsfx.000\doc\cmd.html
%TEMP%\7zipsfx.000\doc\configuration.html
%TEMP%\7zipsfx.000\doc\convert.html
%TEMP%\7zipsfx.000\2mbr_bcd
%TEMP%\7zipsfx.000\doc\copydisk.html
%TEMP%\7zipsfx.000\doc\copypart.html
%TEMP%\7zipsfx.000\doc\copypartwizard.html
%TEMP%\7zipsfx.000\doc\create.html
%TEMP%\7zipsfx.000\doc\ddc.html
%TEMP%\7zipsfx.000\doc\delete.html
%TEMP%\7zipsfx.000\doc\extend.html
%TEMP%\7zipsfx.000\doc\faq.html
%TEMP%\7zipsfx.000\doc\format.html
%TEMP%\7zipsfx.000\doc\gptmbr.html
%TEMP%\7zipsfx.000\doc\helptree.html
%TEMP%\7zipsfx.000\doc\hide.html
%TEMP%\7zipsfx.000\doc\copydiskwizard.html
C:\amtag.bin
%TEMP%\7zipsfx.000\callbackctrl.dll
%TEMP%\7zipsfx.000\doc\wtg.html
%TEMP%\7zipsfx.000\html\img\allocate-space.png
%TEMP%\7zipsfx.000\html\img\icon-security.png
%TEMP%\7zipsfx.000\html\img\icon-small.jpg
%TEMP%\7zipsfx.000\html\img\icon-small.png
%TEMP%\7zipsfx.000\html\img\icon-tech.png
%TEMP%\7zipsfx.000\html\img\icon-user.png
%TEMP%\7zipsfx.000\html\img\icon_1.png
%TEMP%\7zipsfx.000\html\img\icon_10.png
%TEMP%\7zipsfx.000\html\img\icon_11.png
%TEMP%\7zipsfx.000\html\img\icon_11_x.png
%TEMP%\7zipsfx.000\html\img\icon-block.jpg
%TEMP%\7zipsfx.000\html\img\icon_12.png
%TEMP%\7zipsfx.000\html\img\icon-location.png
%TEMP%\7zipsfx.000\html\img\icon_13.png
%TEMP%\7zipsfx.000\html\img\icon_3.png
%TEMP%\7zipsfx.000\html\img\icon_4.png
%TEMP%\7zipsfx.000\html\img\icon_5.png
%TEMP%\7zipsfx.000\html\img\icon_6.png
%TEMP%\7zipsfx.000\html\img\icon_7.png
%TEMP%\7zipsfx.000\html\img\icon_8.png
%TEMP%\7zipsfx.000\html\img\icon_9.png
%TEMP%\7zipsfx.000\html\img\icon_90day.png
%TEMP%\7zipsfx.000\html\img\icon_9_x.png
%TEMP%\7zipsfx.000\html\img\icon_12_x.png
%TEMP%\7zipsfx.000\doc\label.html
%TEMP%\7zipsfx.000\html\img\icon_2.png
%TEMP%\7zipsfx.000\html\img\icon-dot.png
%TEMP%\7zipsfx.000\html\img\ic-lean.jpg
%TEMP%\7zipsfx.000\html\img\ic-9.jpg
%TEMP%\7zipsfx.000\html\img\bg.jpg
%TEMP%\7zipsfx.000\html\img\bg.png
%TEMP%\7zipsfx.000\html\img\bg_top.png
%TEMP%\7zipsfx.000\html\img\bt_click.bmp
%TEMP%\7zipsfx.000\html\img\bt_click.png
%TEMP%\7zipsfx.000\html\img\bt_hover.bmp
%TEMP%\7zipsfx.000\html\img\bt_hover.png
%TEMP%\7zipsfx.000\html\img\bt_normal.bmp
%TEMP%\7zipsfx.000\html\img\bt_normal.png
%TEMP%\7zipsfx.000\html\img\cd16.png
%TEMP%\7zipsfx.000\html\home.html
%TEMP%\7zipsfx.000\html\img\convert-mbr-gpt.png
%TEMP%\7zipsfx.000\html\img\default.png
%TEMP%\7zipsfx.000\html\img\disk-copy.png
%TEMP%\7zipsfx.000\html\img\down.jpg
%TEMP%\7zipsfx.000\html\img\epw_small_normal.png
%TEMP%\7zipsfx.000\html\img\ic-1.jpg
%TEMP%\7zipsfx.000\html\img\ic-2.jpg
%TEMP%\7zipsfx.000\html\img\ic-3.jpg
%TEMP%\7zipsfx.000\html\img\ic-4.jpg
%TEMP%\7zipsfx.000\html\img\ic-5.jpg
%TEMP%\7zipsfx.000\html\img\ic-6.jpg
%TEMP%\7zipsfx.000\html\img\ic-7.jpg
%TEMP%\7zipsfx.000\html\img\copy-partition.png
%TEMP%\7zipsfx.000\html\img\ic-8.jpg
%TEMP%\7zipsfx.000\html\giveaway.html
%WINDIR%\temp\udd1d5d.tmp

Присваивает атрибут 'скрытый' для следующих файлов

C:\amtag.bin

Удаляет следующие файлы

%WINDIR%\syswow64\ampa.sys
%WINDIR%\temp\udd1d5d.tmp

Подменяет следующие файлы

%WINDIR%\syswow64\ampa.sys

Другое

Создает и запускает на исполнение

'%TEMP%\7zipsfx.000\starter.exe'
'%TEMP%\7zipsfx.000\partassist.exe'
'%TEMP%\7zipsfx.000\autodisplay.exe' /auto /wait 0
'%TEMP%\7zipsfx.000\setupgreen64.exe' -u
'%TEMP%\7zipsfx.000\loaddrv_x64.exe' -u
'%TEMP%\7zipsfx.000\setupgreen64.exe'
'%TEMP%\7zipsfx.000\loaddrv_x64.exe'
'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\7ZipSfx.000\Starter.cmd" "' (со скрытым окном)
'%TEMP%\7zipsfx.000\setupgreen64.exe' -u' (со скрытым окном)
'%TEMP%\7zipsfx.000\loaddrv_x64.exe' -u' (со скрытым окном)
'%TEMP%\7zipsfx.000\setupgreen64.exe' ' (со скрытым окном)
'%TEMP%\7zipsfx.000\loaddrv_x64.exe' ' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\7ZipSfx.000\Starter.cmd" "

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней