Trojan.Siggen9.11946

Техническая информация

Для обеспечения автозапуска и распространения

Создает следующие сервисы

[<HKLM>\System\CurrentControlSet\Services\Kingsoft Antivirus WebShield Service] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\Kingsoft Antivirus WebShield Service] 'ImagePath' = '%PROGRAMDATA%\wd\KSWebShield.exe'

Вредоносные функции

Перехватывает функции

в браузерах

Процесс firefox.exe, модуль wininet.dll
Процесс iexplore.exe, модуль advapi32.dll
Процесс firefox.exe, модуль urlmon.dll
Процесс iexplore.exe, модуль wininet.dll
Процесс iexplore.exe, модуль urlmon.dll

Изменения в файловой системе

Создает следующие файлы

%PROGRAMDATA%\kingsoft\kws\kws.ini
%HOMEPATH%\favorites\ГГҐВ№Вє_ГЈГ«Г©В±ГГё.url
%HOMEPATH%\favorites\Г¬ГґВ±В¦Г¬ГёГўГґ.url
%HOMEPATH%\favorites\ГЄВ®ГІВ»ВЅГ¶ВµВҐВ»ГєГіГ®ГЇВ·.url
%HOMEPATH%\favorites\В°В¬ВµГЇГ©Г®В¶ГЁГ«Г±Г«Г·.url
%HOMEPATH%\favorites\88yyГґГєГЇГџГ°ВЎГіГ®ГЇВ·.url
%HOMEPATH%\favorites\ГЎВґВЅГі\ГґГєГЇГџГ±ГґГ§Г©Г°ВЎГ«ВµГґГ¤В¶ГЎ.url
%HOMEPATH%\favorites\ГЎВґВЅГі\ГГҐВ№Вє_ГЈГ«Г©В±ГГё.url
%HOMEPATH%\favorites\ГЎВґВЅГі\Г¬ГґВ±В¦Г¬ГёГўГґ.url
%HOMEPATH%\favorites\ГЎВґВЅГі\ГЄВ®ГІВ»ВЅГ¶ВµВҐВ»ГєГіГ®ГЇВ·.url
%HOMEPATH%\favorites\ГЎВґВЅГі\В°В¬ВµГЇГ©Г®В¶ГЁГ«Г±Г«Г·.url
%HOMEPATH%\favorites\ГЎВґВЅГі\88yyГґГєГЇГџГ°ВЎГіГ®ГЇВ·.url
C:\users\public\desktop\ГГёГ©ГЇГ¬ГґВ±В¦.url2
%HOMEPATH%\favorites\ГґГєГЇГџГ±ГґГ§Г©Г°ВЎГ«ВµГґГ¤В¶ГЎ.url
C:\users\public\desktop\ГґГєГЇГџ_ГіГ®ГЇВ·.url2
%WINDIR%\syswow64\xxyx.ico
%WINDIR%\syswow64\txb.ico
%PROGRAMDATA%\wd\kwssvc.log
%TEMP%\nsd4cea.tmp\nsexec.dll
%PROGRAMDATA%\wd\u.bat
%PROGRAMDATA%\wd\kwsui.dll
%PROGRAMDATA%\wd\kswbc.dll
%PROGRAMDATA%\wd\kswebshield.dll
%PROGRAMDATA%\wd\kswebshield.exe
%PROGRAMDATA%\wd\kwssp.dll
%PROGRAMDATA%\kingsoft\kws\spitesp.dat
%TEMP%\nsd4cea.tmp\accesscontrol.dll
%WINDIR%\syswow64\i_e.ico
%TEMP%\nsd4cea.tmp\system.dll

Удаляет следующие файлы

%TEMP%\nsd4cea.tmp\accesscontrol.dll
%TEMP%\nsd4cea.tmp\nsexec.dll
%TEMP%\nsd4cea.tmp\system.dll

Перемещает следующие файлы

C:\users\public\desktop\ГґГєГЇГџ_ГіГ®ГЇВ·.url2 в C:\users\public\desktop\ГґГєГЇГџ_ГіГ®ГЇВ·.url
C:\users\public\desktop\ГГёГ©ГЇГ¬ГґВ±В¦.url2 в C:\users\public\desktop\ГГёГ©ГЇГ¬ГґВ±В¦.url

Самоудаляется.

Сетевая активность

UDP

DNS ASK ww#.#iyou.net

Другое

Ищет следующие окна

ClassName: 'kws::OSUCWindowClass' WindowName: ''
ClassName: 'DDEMLMom' WindowName: ''
ClassName: 'IEFrame' WindowName: ''
ClassName: 'WorkerW' WindowName: ''
ClassName: 'ReBarWindow32' WindowName: ''
ClassName: 'Address Band Root' WindowName: ''
ClassName: 'ComboBoxEx32' WindowName: ''
ClassName: 'Static' WindowName: ''
ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebCheckMonitor' WindowName: ''

Создает и запускает на исполнение

'%PROGRAMDATA%\wd\kswebshield.exe' -install
'%PROGRAMDATA%\wd\kswebshield.exe' -start
'%PROGRAMDATA%\wd\kswebshield.exe'
'%PROGRAMDATA%\wd\kswebshield.exe' -run
'%WINDIR%\syswow64\cmd.exe' /c "%PROGRAMDATA%\wd\u.bat"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ping 127.0.0.1 -n 6 & del "<Полный путь к файлу>"' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c "%PROGRAMDATA%\wd\u.bat"
'%WINDIR%\syswow64\cmd.exe' /c ping 127.0.0.1 -n 6 & del "<Полный путь к файлу>"
'%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 6