Trojan.PWS.Siggen.39494

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '' = '%TEMP%\keys.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '1' = '%TEMP%\logs.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '' = '%TEMP%\log.exe'

Создает следующие файлы на съемном носителе:

<Имя диска съемного носителя>:\autorun.inf
<Имя диска съемного носителя>:\Sys.exe

Вредоносные функции:

Создает и запускает на исполнение:

%TEMP%\key.exe
%TEMP%\keys.exe
%TEMP%\Bifrost.exe
%TEMP%\Bifrost Public V 1.4.exe
%TEMP%\logs.exe
%TEMP%\log.exe

Завершает или пытается завершить

следующие пользовательские процессы:

bdagent.exe
zlclient.exe
AVP.EXE
outpost.exe

Ищет ветки реестра, отвечающие за хранение паролей сторонними программами:

[<HKCU>\Software\Paltalk]
[<HKCU>\Software\Google\Google Talk\Accounts]

Скрывает следующие процессы:

Изменения в файловой системе:

Создает следующие файлы:

%HOMEPATH%\My Documents\Downloads\MSN-crack.exe
%HOMEPATH%\My Documents\Downloads\MSBuild-crack.exe
%HOMEPATH%\My Documents\Downloads\NetMeeting-crack.exe
%HOMEPATH%\My Documents\Downloads\MSN Gaming Zone-crack.exe
%HOMEPATH%\My Documents\Downloads\microsoft frontpage-crack.exe
%HOMEPATH%\My Documents\Downloads\Messenger-crack.exe
%HOMEPATH%\My Documents\Downloads\Movie Maker-crack.exe
%HOMEPATH%\My Documents\Downloads\Microsoft.NET-crack.exe
%HOMEPATH%\My Documents\Downloads\Windows NT-crack.exe
%HOMEPATH%\My Documents\Downloads\Windows Media Player-crack.exe
%HOMEPATH%\My Documents\Downloads\xerox-crack.exe
%HOMEPATH%\My Documents\Downloads\WindowsUpdate-crack.exe
%HOMEPATH%\My Documents\Downloads\Outlook Express-crack.exe
%HOMEPATH%\My Documents\Downloads\Online Services-crack.exe
%HOMEPATH%\My Documents\Downloads\Uninstall Information-crack.exe
%HOMEPATH%\My Documents\Downloads\Reference Assemblies-crack.exe
%TEMP%\Bifrost.exe
%TEMP%\keys.exe
C:\autorun.inf
C:\Sys.exe
%TEMP%\logs.exe
%TEMP%\Bifrost Public V 1.4.exe
%TEMP%\key.exe
%TEMP%\log.exe
%HOMEPATH%\My Documents\Downloads\ComPlus Applications-crack.exe
%HOMEPATH%\My Documents\Downloads\Common Files-crack.exe
%HOMEPATH%\My Documents\Downloads\Internet Explorer-crack.exe
%HOMEPATH%\My Documents\Downloads\FireFox-crack.exe
C:\Program Settings\winadmin-setup.exe
\Device\LanmanRedirector\CRNJEUFU\Program Settings\winadmin-setup.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\index[2].php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\index[1].php

Присваивает атрибут 'скрытый' для следующих файлов:

<Имя диска съемного носителя>:\Sys.exe
<Имя диска съемного носителя>:\autorun.inf
C:\Sys.exe
C:\autorun.inf

Сетевая активность:

Подключается к:

'sm##.gmail.com':587
'au######on.whatismyip.com':80
'localhost':445
'localhost':1035
'www.md#####logs.comule.com':80

TCP:

Запросы HTTP GET:

au######on.whatismyip.com/n09230945.asp
www.md#####logs.comule.com/index.php?ac#####################################################################################################
www.md#####logs.comule.com/index.php?ac##############################################

UDP: