Trojan.Siggen9.26780

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\SYSTEM\CurrentControlSet\Control\Session Manager] 'BootExecute' = 'autocheck autochk *'

Создает следующие сервисы

[<HKLM>\System\CurrentControlSet\Services\ampa] 'ImagePath' = '<SYSTEM32>\ampa.sys'

Вредоносные функции

Читает файлы, отвечающие за хранение паролей сторонними программами

%HOMEPATH%\desktop\cveuropeo.doc
%HOMEPATH%\desktop\dashborder_192.bmp
%HOMEPATH%\desktop\delete.avi
%HOMEPATH%\desktop\dialmap.bmp
%HOMEPATH%\desktop\join.avi
%HOMEPATH%\desktop\ovp25012015.doc
%HOMEPATH%\desktop\pmd.cer
%HOMEPATH%\desktop\sdszfo.docx
%HOMEPATH%\desktop\testee.cer
%HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
%HOMEPATH%\desktop\uep_form_786_bulletin_1726i602.doc
%HOMEPATH%\desktop\weeklysheet1215.doc

Изменения в файловой системе

Создает следующие файлы

%TEMP%\7zipsfx.000\app\appinfo\appicon.ico
%TEMP%\7zipsfx.000\app\partassist\msvcp80.dll
%TEMP%\7zipsfx.000\app\partassist\msvcp90.dll
%TEMP%\7zipsfx.000\app\partassist\msvcr80.dll
%TEMP%\7zipsfx.000\app\partassist\msvcr90.dll
%TEMP%\7zipsfx.000\app\partassist\native\w2k\x86\fre\ampa.exe
%TEMP%\7zipsfx.000\app\partassist\native\w2k\x86\fre\ampa.sys
%TEMP%\7zipsfx.000\app\partassist\native\wlh\amd64\fre\ampa.exe
%TEMP%\7zipsfx.000\app\partassist\native\wlh\amd64\fre\ampa.sys
%TEMP%\7zipsfx.000\app\partassist\native\wlh\x86\fre\ampa.exe
%TEMP%\7zipsfx.000\app\partassist\native\wnet\amd64\fre\ampa.exe
%TEMP%\7zipsfx.000\app\partassist\pthreadgc2.dll
%TEMP%\7zipsfx.000\app\partassist\native\wnet\amd64\fre\ampa.sys
%TEMP%\7zipsfx.000\app\partassist\ntfs2fat32.exe
%TEMP%\7zipsfx.000\app\partassist\partassist backup.exe
%TEMP%\7zipsfx.000\app\partassist\partassist.exe
%TEMP%\7zipsfx.000\app\partassist\pathformat.dll
%TEMP%\7zipsfx.000\app\partassist\pe.dll
%TEMP%\7zipsfx.000\app\partassist\pe\driver\amd64\msahci.sys
%TEMP%\7zipsfx.000\app\partassist\pe\driver\i386\msahci.sys
%TEMP%\7zipsfx.000\app\partassist\peloaddrv.exe
%TEMP%\7zipsfx.000\app\partassist\msvcm90.dll
%TEMP%\7zipsfx.000\app\partassist\native\wlh\x86\fre\ampa.sys
%TEMP%\7zipsfx.000\app\partassist\msvcm80.dll
%TEMP%\7zipsfx.000\app\partassist\garunonce.exe
%TEMP%\7zipsfx.000\app\partassist\7z.dll
%TEMP%\7zipsfx.000\app\partassist\7z.exe
%TEMP%\7zipsfx.000\app\partassist\ambooter.exe
%TEMP%\7zipsfx.000\app\partassist\bcdboot.exe
%TEMP%\7zipsfx.000\app\partassist\botva2.dll
%TEMP%\7zipsfx.000\app\partassist\callbackctrl.dll
%TEMP%\7zipsfx.000\app\partassist\dyndiskconverter.exe
%TEMP%\7zipsfx.000\app\partassist\epw.exe
%TEMP%\7zipsfx.000\app\partassist\exfat.dll
%TEMP%\7zipsfx.000\app\partassist\gptbcd.dll
%TEMP%\7zipsfx.000\app\partassist\mfcm80.dll
%TEMP%\7zipsfx.000\app\partassist\help.exe
%TEMP%\7zipsfx.000\app\partassist\iconv.dll
%TEMP%\7zipsfx.000\app\partassist\libgcc_s_sjlj-1.dll
%TEMP%\7zipsfx.000\app\partassist\libwim-15.dll
%TEMP%\7zipsfx.000\app\partassist\libxml2-2.dll
%TEMP%\7zipsfx.000\app\partassist\loaddrv_win32.exe
%TEMP%\7zipsfx.000\app\partassist\loaddrv_x64.exe
%TEMP%\7zipsfx.000\app\partassist\mfc80.dll
%TEMP%\7zipsfx.000\app\partassist\mfc80u.dll
%TEMP%\7zipsfx.000\app\partassist\mfcm80u.dll
%TEMP%\7zipsfx.000\app\partassist\wintogo.exe
%TEMP%\partassisttechportabletemp\cab7325.tmp
%TEMP%\7zipsfx.000\app\partassist\setupgreen64.exe
%TEMP%\7zipsfx.000\data\win\system32\ddmdrv,2.sys
%TEMP%\7zipsfx.000\data\win\system32\ddmdrv,3.sys
%TEMP%\7zipsfx.000\data\win\system32\ddmdrv,4.sys
%TEMP%\7zipsfx.000\partassisttechportable.exe
%TEMP%\nsee4b1.tmp
%TEMP%\nsoe4f0.tmp\system.dll
%TEMP%\nsoe4f0.tmp\launcher.ini
%WINDIR%\ampa.exe
<SYSTEM32>\ampa.sys
%TEMP%\nsoe4f0.tmp\runtimedata.ini
%TEMP%\7zipsfx.000\app\partassist\setupgreen32.exe
%TEMP%\nsoe4f0.tmp\registry.dll
%TEMP%\nsoe4f0.tmp\execdos.dll
%TEMP%\7zipsfx.000\app\partassist\cfg.ini
%TEMP%\7zipsfx.000\app\partassist\log\reg.log
%WINDIR%\ga_of.dat
%TEMP%\7zipsfx.000\app\partassist\log\ampa1.log
%WINDIR%\syswow64\ampa.sys
C:\amtag.bin
%WINDIR%\temp\udd1e00.tmp
%TEMP%\7zipsfx.000\data\win\system32\ddmdrv,1.sys
%TEMP%\7zipsfx.000\app\defaultdata\win\system32\ddmdrv,4.sys
%TEMP%\7zipsfx.000\data\win\system32\ampa.sys
%TEMP%\7zipsfx.000\app\partassist\winchk.exe
%TEMP%\7zipsfx.000\app\partassist\sfx-exec.exe
%TEMP%\7zipsfx.000\app\partassist\ssdsecurityerase.dll
%TEMP%\7zipsfx.000\app\partassist\uninstallab.dll
%TEMP%\7zipsfx.000\app\partassist\upgradeshow.dll
%TEMP%\7zipsfx.000\app\partassist\vhdmgr.dll
%TEMP%\7zipsfx.000\app\partassist\webctrl.dll
%TEMP%\7zipsfx.000\app\partassist\wimgapi.dll
%TEMP%\7zipsfx.000\app\partassist\wimlib-imagex.exe
%TEMP%\7zipsfx.000\app\partassist\wimmgr.dll
%TEMP%\7zipsfx.000\app\partassist\scanpartition.dll
%TEMP%\7zipsfx.000\data\win\system32\ampa,2.sys
%TEMP%\7zipsfx.000\data\win\ampa,1.exe
%TEMP%\7zipsfx.000\data\win\ampa,2.exe
%TEMP%\7zipsfx.000\data\win\ampa,3.exe
%TEMP%\7zipsfx.000\data\win\ampa.exe
%TEMP%\7zipsfx.000\data\win\ddmmain,1.exe
%TEMP%\7zipsfx.000\data\win\ddmmain,2.exe
%TEMP%\7zipsfx.000\data\win\ddmmain,3.exe
%TEMP%\7zipsfx.000\data\win\ddmmain,4.exe
%TEMP%\7zipsfx.000\data\win\system32\ampa,1.sys
%TEMP%\7zipsfx.000\data\win\system32\ampa,3.sys
%TEMP%\7zipsfx.000\data\portableapps.comlauncherruntimedata-partassisttechportable.ini
%TEMP%\7zipsfx.000\app\defaultdata\win\system32\ddmdrv,3.sys
%TEMP%\7zipsfx.000\app\defaultdata\win\ampa,2.exe
%TEMP%\7zipsfx.000\app\partassist\doc\ddc.html
%TEMP%\7zipsfx.000\app\partassist\doc\delete.html
%TEMP%\7zipsfx.000\app\partassist\doc\extend.html
%TEMP%\7zipsfx.000\app\partassist\doc\faq.html
%TEMP%\7zipsfx.000\app\partassist\doc\format.html
%TEMP%\7zipsfx.000\app\partassist\doc\gptmbr.html
%TEMP%\7zipsfx.000\app\partassist\doc\helptree.html
%TEMP%\7zipsfx.000\app\partassist\doc\hide.html
%TEMP%\7zipsfx.000\app\partassist\doc\images\headfill.png
%TEMP%\7zipsfx.000\app\partassist\doc\initdisk.html
%TEMP%\7zipsfx.000\app\partassist\doc\password.html
%TEMP%\7zipsfx.000\app\partassist\doc\integratetorecoveryenv.html
%TEMP%\7zipsfx.000\app\partassist\doc\label.html
%TEMP%\7zipsfx.000\app\partassist\doc\letter.html
%TEMP%\7zipsfx.000\app\partassist\doc\main.html
%TEMP%\7zipsfx.000\app\partassist\doc\merge.html
%TEMP%\7zipsfx.000\app\partassist\doc\migrate.html
%TEMP%\7zipsfx.000\app\partassist\doc\n2f.html
%TEMP%\7zipsfx.000\app\partassist\doc\partalign.html
%TEMP%\7zipsfx.000\app\partassist\doc\partrecovery.html
%TEMP%\7zipsfx.000\app\partassist\doc\create.html
%TEMP%\7zipsfx.000\app\partassist\doc\index.html
%TEMP%\7zipsfx.000\app\partassist\doc\copypartwizard.html
%TEMP%\7zipsfx.000\app\partassist\2mbr_bcd
%TEMP%\7zipsfx.000\app\appinfo\appicon_128.png
%TEMP%\7zipsfx.000\app\appinfo\appicon_16.png
%TEMP%\7zipsfx.000\app\appinfo\appicon_256.png
%TEMP%\7zipsfx.000\app\appinfo\appicon_32.png
%TEMP%\7zipsfx.000\app\appinfo\appinfo.ini
%TEMP%\7zipsfx.000\app\appinfo\launcher\custom.nsh
%TEMP%\7zipsfx.000\app\appinfo\launcher\partassisttechportable.ini
%TEMP%\7zipsfx.000\app\defaultdata\cfg.ini
%TEMP%\7zipsfx.000\app\partassist\2gpt_bcd
%TEMP%\7zipsfx.000\app\partassist\doc\about.html
%TEMP%\7zipsfx.000\app\partassist\doc\copydiskwizard.html
%TEMP%\7zipsfx.000\app\partassist\doc\active.html
%TEMP%\7zipsfx.000\app\partassist\doc\allocate.html
%TEMP%\7zipsfx.000\app\partassist\doc\bootcd.html
%TEMP%\7zipsfx.000\app\partassist\doc\check.html
%TEMP%\7zipsfx.000\app\partassist\doc\clear.html
%TEMP%\7zipsfx.000\app\partassist\doc\cmd.html
%TEMP%\7zipsfx.000\app\partassist\doc\configuration.html
%TEMP%\7zipsfx.000\app\partassist\doc\convert.html
%TEMP%\7zipsfx.000\app\partassist\doc\copydisk.html
%TEMP%\7zipsfx.000\app\partassist\doc\copypart.html
%TEMP%\7zipsfx.000\app\partassist\doc\wipe.html
%TEMP%\7zipsfx.000\app\defaultdata\win\system32\ddmdrv,1.sys
%TEMP%\7zipsfx.000\app\partassist\doc\quick-partition.html
%TEMP%\7zipsfx.000\app\partassist\winpeshl.ini
%TEMP%\7zipsfx.000\data\amtag.bin
%TEMP%\7zipsfx.000\data\cfg.ini
%TEMP%\7zipsfx.000\data\log\ampa0.log
%TEMP%\7zipsfx.000\data\log\reg.log
%TEMP%\7zipsfx.000\data\settings\partassisttechportablesettings.ini
%TEMP%\7zipsfx.000\data\upgrade.ini
%TEMP%\7zipsfx.000\data\wnd.ini
%TEMP%\7zipsfx.000\app\defaultdata\win\ampa,1.exe
%TEMP%\7zipsfx.000\app\defaultdata\win\ampa,3.exe
%TEMP%\7zipsfx.000\app\partassist\doc\properties.html
%TEMP%\7zipsfx.000\app\defaultdata\win\ampa,4.exe
%TEMP%\7zipsfx.000\app\defaultdata\win\ddmmain,1.exe
%TEMP%\7zipsfx.000\app\defaultdata\win\ddmmain,2.exe
%TEMP%\7zipsfx.000\app\defaultdata\win\ddmmain,3.exe
%TEMP%\7zipsfx.000\app\defaultdata\win\ddmmain,4.exe
%TEMP%\7zipsfx.000\app\defaultdata\win\system32\ampa,1.sys
%TEMP%\7zipsfx.000\app\defaultdata\win\system32\ampa,2.sys
%TEMP%\7zipsfx.000\app\defaultdata\win\system32\ampa,3.sys
%TEMP%\7zipsfx.000\app\defaultdata\win\system32\ampa,4.sys
%TEMP%\7zipsfx.000\app\partassist\uninstall.bat
%TEMP%\7zipsfx.000\app\defaultdata\win\system32\ddmdrv,2.sys
%TEMP%\7zipsfx.000\app\partassist\pacfg.ini
%TEMP%\7zipsfx.000\app\partassist\doc\typeid.html
%TEMP%\7zipsfx.000\app\partassist\doc\rebootmode.html
%TEMP%\7zipsfx.000\app\partassist\doc\rebuildmbr.html
%TEMP%\7zipsfx.000\app\partassist\doc\resize.html
%TEMP%\7zipsfx.000\app\partassist\doc\serial.html
%TEMP%\7zipsfx.000\app\partassist\doc\split.html
%TEMP%\7zipsfx.000\app\partassist\doc\ssdsecureerase.html
%TEMP%\7zipsfx.000\app\partassist\doc\style.css
%TEMP%\7zipsfx.000\app\partassist\doc\support.html
%TEMP%\7zipsfx.000\app\partassist\doc\surface.html
%TEMP%\7zipsfx.000\app\partassist\doc\prilog.html
%TEMP%\7zipsfx.000\app\partassist\microsoft.vc90.crt.manifest
%TEMP%\7zipsfx.000\app\partassist\doc\wipedisk.html
%TEMP%\7zipsfx.000\app\partassist\doc\wipepart.html
%TEMP%\7zipsfx.000\app\partassist\doc\wtg.html
%TEMP%\7zipsfx.000\app\partassist\install.bat
%TEMP%\7zipsfx.000\app\partassist\lang\en.txt
%TEMP%\7zipsfx.000\app\partassist\language.ini
%TEMP%\7zipsfx.000\app\partassist\manual.pdf
%TEMP%\7zipsfx.000\app\partassist\microsoft.vc80.crt.manifest
%TEMP%\7zipsfx.000\app\partassist\microsoft.vc80.mfc.manifest
%TEMP%\7zipsfx.000\app\partassist\other.ini
%TEMP%\partassisttechportabletemp\tar7326.tmp

Присваивает атрибут 'скрытый' для следующих файлов

%TEMP%\7zipsfx.000\data\amtag.bin
C:\amtag.bin

Удаляет следующие файлы

%WINDIR%\ampa.exe
<SYSTEM32>\ampa.sys
%WINDIR%\syswow64\ampa.sys
%WINDIR%\temp\udd1e00.tmp
%TEMP%\partassisttechportabletemp\cab7325.tmp
%TEMP%\partassisttechportabletemp\tar7326.tmp

Перемещает следующие файлы

%TEMP%\7zipsfx.000\data\win\ampa.exe в %TEMP%\7zipsfx.000\data\win\ampa,2.exe
%TEMP%\7zipsfx.000\data\win\system32\ampa.sys в %TEMP%\7zipsfx.000\data\win\system32\ampa,2.sys
%TEMP%\7zipsfx.000\data\amtag.bin в C:\amtag.bin
%TEMP%\7zipsfx.000\data\upgrade.ini в %TEMP%\7zipsfx.000\app\partassist\upgrade.ini
%TEMP%\7zipsfx.000\data\wnd.ini в %TEMP%\7zipsfx.000\app\partassist\wnd.ini
%TEMP%\7zipsfx.000\data\cfg.ini в %TEMP%\7zipsfx.000\app\partassist\cfg.ini

Подменяет следующие файлы

%WINDIR%\ampa.exe
<SYSTEM32>\ampa.sys
%WINDIR%\syswow64\ampa.sys

Сетевая активность

TCP

Запросы HTTP GET

http://www.di####artition.com/upgrade.ini

'di###art.com':443

UDP

DNS ASK di####artition.com
DNS ASK di###art.com

Другое

Создает и запускает на исполнение

'%TEMP%\7zipsfx.000\partassisttechportable.exe'
'%TEMP%\7zipsfx.000\app\partassist\partassist.exe'
'%TEMP%\7zipsfx.000\app\partassist\setupgreen64.exe' -u
'%TEMP%\7zipsfx.000\app\partassist\loaddrv_x64.exe' -u
'%TEMP%\7zipsfx.000\app\partassist\setupgreen64.exe'
'%TEMP%\7zipsfx.000\app\partassist\loaddrv_x64.exe'
'%TEMP%\7zipsfx.000\partassisttechportable.exe' ' (со скрытым окном)
'%TEMP%\7zipsfx.000\app\partassist\partassist.exe' ' (со скрытым окном)
'%TEMP%\7zipsfx.000\app\partassist\setupgreen64.exe' -u' (со скрытым окном)
'%TEMP%\7zipsfx.000\app\partassist\loaddrv_x64.exe' -u' (со скрытым окном)
'%TEMP%\7zipsfx.000\app\partassist\setupgreen64.exe' ' (со скрытым окном)
'%TEMP%\7zipsfx.000\app\partassist\loaddrv_x64.exe' ' (со скрытым окном)

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней