Trojan.Siggen9.18068

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'navHelper2' = '"%APPDATA%\navHelper2.exe"'

Вредоносные функции

Изменяет следующие настройки браузера Windows Internet Explorer

[<HKLM>\Software\Microsoft\windows\CurrentVersion\Internet Settings] 'ProxyEnable' = '00000001'
[<HKLM>\Software\Microsoft\windows\CurrentVersion\Internet Settings] 'ProxyServer' = 'http=127.0.0.1:8888;https=127.0.0.1:8888;'
[<HKLM>\Software\Microsoft\windows\CurrentVersion\Internet Settings] 'ProxyOverride' = '<-loopback>'
[<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyEnable' = '00000001'
[<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyOverride' = '<-loopback>'
[<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyServer' = 'http=127.0.0.1:8888;https=127.0.0.1:8888;'

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\navhelper2.exe
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\lnnsm7s9\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\3jke9fuj\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\n6ui0m5y\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\mgfbgjuk\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\index.dat
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
%LOCALAPPDATA%\isolatedstorage\b0nnhdyx.xqq\xq4fmnax.0oa\url.e4ur3uy4unzrvyrfnsfugjyjoy1bgdhg\assemfiles\storage_811092dcc98648d790a1730d08245b4b_sessiondata_df2ad76f52564a82ac72cac6777af1d7.bi...
%LOCALAPPDATA%\isolatedstorage\b0nnhdyx.xqq\xq4fmnax.0oa\url.e4ur3uy4unzrvyrfnsfugjyjoy1bgdhg\assemfiles\storage_811092dcc98648d790a1730d08245b4b_statistics.bin
%LOCALAPPDATA%\isolatedstorage\b0nnhdyx.xqq\xq4fmnax.0oa\url.e4ur3uy4unzrvyrfnsfugjyjoy1bgdhg\assemfiles\storage_811092dcc98648d790a1730d08245b4b_policy.bin
%LOCALAPPDATA%\isolatedstorage\b0nnhdyx.xqq\xq4fmnax.0oa\url.e4ur3uy4unzrvyrfnsfugjyjoy1bgdhg\info.dat
%LOCALAPPDATA%\isolatedstorage\b0nnhdyx.xqq\xq4fmnax.0oa\url.e4ur3uy4unzrvyrfnsfugjyjoy1bgdhg\identity.dat
%APPDATA%\config.json
%APPDATA%\microsoft\crypto\rsa\s-1-5-21-1960123792-2022915161-3775307078-1001\4b30a7222501b62a6e0da5f39734b15b_36d1130a-ac2e-44f7-9dc1-e424fbcbe0ee
%TEMP%\tmp23d6.tmp
%TEMP%\tmp23b6.tmp
%APPDATA%\microsoft\systemcertificates\my\keys\f8981b8411081adcbcc59ea4050bc3a72a7080d9
%APPDATA%\microsoft\systemcertificates\my\certificates\fc5acd67bb419c8825a868d2827d02eeddfaeaa7
%APPDATA%\microsoft\systemcertificates\request\certificates\b4628fe6fe127404101b7849d266ecf5b1c1bfa0
%APPDATA%\microsoft\crypto\rsa\s-1-5-21-1960123792-2022915161-3775307078-1001\c6af093f08406d9e39b7caa64c79f378_36d1130a-ac2e-44f7-9dc1-e424fbcbe0ee
%APPDATA%\dbg.log
%APPDATA%\microsoft\windows\cookies\low\index.dat
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\index.dat

Присваивает атрибут 'скрытый' для следующих файлов

%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\mgfbgjuk\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\n6ui0m5y\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\3jke9fuj\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\lnnsm7s9\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini

Удаляет следующие файлы

%APPDATA%\microsoft\systemcertificates\request\certificates\b4628fe6fe127404101b7849d266ecf5b1c1bfa0
%TEMP%\tmp23b6.tmp
%TEMP%\tmp23d6.tmp

Сетевая активность

Подключается к

'81############d790a1730d08245b4b.monitor-eqatec.com':80

TCP

Запросы HTTP POST

http://81############d790a1730d08245b4b.monitor-eqatec.com/monitor.ashx?pv################################################################################################

UDP