Trojan.Siggen9.35604

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '457ffde582608e1827e7b0fdb01510c7' = '"%HOMEPATH%\Executavel.exe" ..'
[<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '457ffde582608e1827e7b0fdb01510c7' = '"%HOMEPATH%\Executavel.exe" ..'

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\update\hwgugq
%APPDATA%\microsoft\windows\start menu\programs\startup\457ffde582608e1827e7b0fdb01510c7.exe

Вредоносные функции

Запускает на исполнение

'%WINDIR%\syswow64\netsh.exe' firewall add allowedprogram "%HOMEPATH%\Executavel.exe" "Executavel.exe" ENABLE

Внедряет код в

следующие пользовательские процессы:

lomkjwq.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\lomkjwq.exe
%TEMP%\auuuuu.xml
%TEMP%\core.exe
%TEMP%\azzzzz.xml
%TEMP%\icon.png
%HOMEPATH%\executavel.exe
%TEMP%\ayyyyy.xml
%TEMP%\a88888.xml
%TEMP%\aggggg.xml
%TEMP%\asssss.xml
%TEMP%\awwwww.xml
%TEMP%\abbbbb.xml
%TEMP%\accccc.xml
%TEMP%\a33333.xml

Удаляет следующие файлы

%TEMP%\auuuuu.xml
%TEMP%\azzzzz.xml
%TEMP%\ayyyyy.xml
%TEMP%\a88888.xml
%TEMP%\aggggg.xml
%TEMP%\asssss.xml
%TEMP%\awwwww.xml
%TEMP%\abbbbb.xml
%TEMP%\accccc.xml
%TEMP%\a33333.xml

Подменяет следующие файлы

%TEMP%\auuuuu.xml

Сетевая активность

TCP

'se#####l.duckdns.org':8080

UDP

DNS ASK se#####l.duckdns.org

Другое

Создает и запускает на исполнение

'%TEMP%\core.exe' -woohoo 2236 %TEMP%\LoMkjwQ.exe
'%TEMP%\core.exe' -woohoo 2192 %TEMP%\LoMkjwQ.exe
'%TEMP%\core.exe' -woohoo 2336 %TEMP%\LoMkjwQ.exe
'%TEMP%\core.exe' -woohoo 2148 %TEMP%\LoMkjwQ.exe
'%TEMP%\core.exe' -woohoo 1108 %TEMP%\LoMkjwQ.exe
'%TEMP%\core.exe' -woohoo 2936 %TEMP%\LoMkjwQ.exe
'%TEMP%\core.exe' -woohoo 188 %TEMP%\LoMkjwQ.exe
'%TEMP%\core.exe' -woohoo 2928 %TEMP%\LoMkjwQ.exe
'%TEMP%\lomkjwq.exe'
'%HOMEPATH%\executavel.exe'
'%TEMP%\core.exe' -woohoo 2408 %TEMP%\LoMkjwQ.exe
'%TEMP%\core.exe' -woohoo 2712 %TEMP%\LoMkjwQ.exe
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Update\HwgugQ" /XML "%TEMP%\azzzzz.xml"' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Update\HwgugQ" /XML "%TEMP%\aCCCCC.xml"' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Update\HwgugQ" /XML "%TEMP%\a88888.xml"' (со скрытым окном)
'%WINDIR%\syswow64\netsh.exe' firewall add allowedprogram "%HOMEPATH%\Executavel.exe" "Executavel.exe" ENABLE' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Update\HwgugQ" /XML "%TEMP%\aGGGGG.xml"' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Update\HwgugQ" /XML "%TEMP%\a33333.xml"' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Update\HwgugQ" /XML "%TEMP%\ayyyyy.xml"' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Update\HwgugQ" /XML "%TEMP%\aSSSSS.xml"' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Update\HwgugQ" /XML "%TEMP%\awwwww.xm#"' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Update\HwgugQ" /XML "%TEMP%\aBBBBB.xml"' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Update\HwgugQ" /XML "%TEMP%\auuuuu.xml"' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Update\HwgugQ" /XML "%TEMP%\auuuuu.xml"
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Update\HwgugQ" /XML "%TEMP%\azzzzz.xml"
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Update\HwgugQ" /XML "%TEMP%\ayyyyy.xml"
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Update\HwgugQ" /XML "%TEMP%\a88888.xml"
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Update\HwgugQ" /XML "%TEMP%\aGGGGG.xml"
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Update\HwgugQ" /XML "%TEMP%\aSSSSS.xml"
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Update\HwgugQ" /XML "%TEMP%\awwwww.xm#"
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Update\HwgugQ" /XML "%TEMP%\aBBBBB.xml"
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Update\HwgugQ" /XML "%TEMP%\aCCCCC.xml"
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Update\HwgugQ" /XML "%TEMP%\a33333.xml"