Trojan.Siggen9.35631

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'T8TPGZIXVF' = '%ProgramFiles(x86)%\Vlzix\u6oh7bmd8itr.exe'

Создает или изменяет следующие файлы

Вредоносные функции

Внедряет код в

следующие системные процессы:

следующие пользовательские процессы:

Перехватывает функции

в браузерах

Завершает или пытается завершить

следующие системные процессы:

Читает файлы, отвечающие за хранение паролей сторонними программами

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\leldznfmr.exe
%TEMP%\tmpd2f8.tmp
%APPDATA%\8329t7re\832logrf.ini
%APPDATA%\8329t7re\832logim.jpeg
%LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
%PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
%PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
%TEMP%\vlzix\u6oh7bmd8itr.exe
%PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
%APPDATA%\8329t7re\832logri.ini
%TEMP%\tmp961e.tmp
%TEMP%\tmp6653.tmp
%TEMP%\tmp294a.tmp
%TEMP%\tmpf9fd.tmp
%TEMP%\tmpb236.tmp
%APPDATA%\8329t7re\832logrv.ini
%ProgramFiles(x86)%\vlzix\u6oh7bmd8itr.exe

Присваивает атрибут 'скрытый' для следующих файлов

Удаляет следующие файлы

Сетевая активность

TCP

Запросы HTTP GET

http://www.sa##rt.com/jb9/?NT######################################################################################

UDP

Другое

Создает и запускает на исполнение

'%ProgramFiles(x86)%\vlzix\u6oh7bmd8itr.exe'
'%WINDIR%\microsoft.net\framework\v2.0.50727\installutil.exe' /logtoconsole=false /logfile= /u "<Полный путь к файлу>"' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Updates\leLdZnfmR" /XML "%TEMP%\tmpB236.tmp"' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Updates\leLdZnfmR" /XML "%TEMP%\tmpF9FD.tmp"' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Updates\leLdZnfmR" /XML "%TEMP%\tmp294A.tmp"' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Updates\leLdZnfmR" /XML "%TEMP%\tmp6653.tmp"' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Updates\leLdZnfmR" /XML "%TEMP%\tmp961E.tmp"' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Updates\leLdZnfmR" /XML "%TEMP%\tmpD2F8.tmp"' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Updates\leLdZnfmR" /XML "%TEMP%\tmpAD1.tmp"' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\microsoft.net\framework\v2.0.50727\installutil.exe' /logtoconsole=false /logfile= /u "<Полный путь к файлу>"
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Updates\leLdZnfmR" /XML "%TEMP%\tmpB236.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\installutil.exe'
'%WINDIR%\syswow64\netstat.exe'
'%WINDIR%\syswow64\cmd.exe' del "%WINDIR%\Microsoft.NET\Framework\v2.0.50727\installutil.exe"
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Updates\leLdZnfmR" /XML "%TEMP%\tmpF9FD.tmp"
'%WINDIR%\syswow64\wininit.exe'
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Updates\leLdZnfmR" /XML "%TEMP%\tmp294A.tmp"
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Updates\leLdZnfmR" /XML "%TEMP%\tmp6653.tmp"
'%WINDIR%\syswow64\napstat.exe'
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Updates\leLdZnfmR" /XML "%TEMP%\tmp961E.tmp"
'%WINDIR%\syswow64\cmd.exe'
'%ProgramFiles(x86)%\mozilla firefox\firefox.exe'
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Updates\leLdZnfmR" /XML "%TEMP%\tmpD2F8.tmp"
'%WINDIR%\syswow64\control.exe'
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Updates\leLdZnfmR" /XML "%TEMP%\tmpAD1.tmp"