Trojan.Siggen9.41124

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\SYSTEM\CurrentControlSet\Control\Session Manager] 'BootExecute' = 'autocheck autochk *'

Устанавливает следующие настройки сервисов

[<HKLM>\SYSTEM\CurrentControlSet\Services\ampa] 'ImagePath' = 'system32\ampa.sys'

Изменения в файловой системе

Создает следующие файлы

%TEMP%\2k10\aomei_pa\2gpt_bcd
%TEMP%\2k10\aomei_pa\loaddrv_x64.exe
%TEMP%\2k10\aomei_pa\mfc80.dll
%TEMP%\2k10\aomei_pa\mfc80u.dll
%TEMP%\2k10\aomei_pa\mfcm80.dll
%TEMP%\2k10\aomei_pa\mfcm80u.dll
%TEMP%\2k10\aomei_pa\msvcm80.dll
%TEMP%\2k10\aomei_pa\msvcp80.dll
%TEMP%\2k10\aomei_pa\msvcr80.dll
%TEMP%\2k10\aomei_pa\ntfs2fat32.exe
%TEMP%\2k10\aomei_pa\partassist.exe
%TEMP%\2k10\aomei_pa\pthreadgc2.dll
%TEMP%\2k10\aomei_pa\log\ampa0.log
%TEMP%\2k10\aomei_pa\scanpartition.dll
%TEMP%\2k10\aomei_pa\setupgreen32.exe
%TEMP%\2k10\aomei_pa\setupgreen64.exe
%TEMP%\2k10\aomei_pa\ssdsecurityerase.dll
%TEMP%\2k10\aomei_pa\wimgapi.dll
%TEMP%\2k10\aomei_pa\wimlib-imagex.exe
%TEMP%\2k10\aomei_pa\wimmgr.dll
%TEMP%\2k10\aomei_pa\winchk.exe
<SYSTEM32>\ampa.sys
%WINDIR%\temp\udd7cc9.tmp
%TEMP%\2k10\aomei_pa\loaddrv_win32.exe
%TEMP%\2k10\aomei_pa\pe.dll
%TEMP%\2k10\aomei_pa\loaddrv.exe
%TEMP%\2k10\aomei_pa\readme.rtf
%TEMP%\2k10\aomei_pa\2mbr_bcd
%TEMP%\2k10\aomei_pa\cfg.ini
%TEMP%\2k10\aomei_pa\eng\cfg.ini
%TEMP%\2k10\aomei_pa\info.ini
%TEMP%\2k10\aomei_pa\install.bat
%TEMP%\2k10\aomei_pa\lang\en.txt
%TEMP%\2k10\aomei_pa\lang\ru.txt
%TEMP%\2k10\aomei_pa\language.ini
%TEMP%\2k10\aomei_pa\microsoft.vc80.crt.manifest
%TEMP%\2k10\aomei_pa\microsoft.vc80.mfc.manifest
%TEMP%\2k10\aomei_pa\upgrade.ini
%TEMP%\2k10\aomei_pa\libwim-15.dll
%TEMP%\2k10\aomei_pa\7z.dll
%TEMP%\2k10\aomei_pa\7z.exe
%TEMP%\2k10\aomei_pa\bcdboot.exe
%TEMP%\2k10\aomei_pa\dyndiskconverter.exe
%TEMP%\2k10\aomei_pa\eng\732\ampa.sys
%TEMP%\2k10\aomei_pa\eng\764\ampa.sys
%TEMP%\2k10\aomei_pa\eng\xp\ampa.sys
%TEMP%\2k10\aomei_pa\epw.exe
%TEMP%\2k10\aomei_pa\iconv.dll
%TEMP%\2k10\aomei_pa\libgcc_s_sjlj-1.dll
%TEMP%\2k10\aomei_pa\libxml2-2.dll
C:\amtag.bin

Присваивает атрибут 'скрытый' для следующих файлов

C:\amtag.bin

Удаляет следующие файлы

%WINDIR%\temp\udd7cc9.tmp

Сетевая активность

TCP

Запросы HTTP GET

http://www.ao###tech.com/service/storage/sync/?gu##################################
http://www.di####artition.com/upgrade.ini
http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt

'di###art.com':443

UDP

DNS ASK ao###tech.com
DNS ASK di####artition.com
DNS ASK di###art.com
DNS ASK microsoft.com

Другое

Создает и запускает на исполнение

'%TEMP%\2k10\aomei_pa\partassist.exe'
'<SYSTEM32>\cmd.exe' /c if not exist <SYSTEM32>\ampa.sys copy /y Eng\764\ampa.sys <SYSTEM32>' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c Reg add HKLM\SYSTEM\CurrentControlSet\Services\ampa /v Type /t REG_DWORD /d 1 /f' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c Reg add HKLM\SYSTEM\CurrentControlSet\Services\ampa /v Start /t REG_DWORD /d 3 /f' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c Reg add HKLM\SYSTEM\CurrentControlSet\Services\ampa /v ErrorControl /t REG_DWORD /d 0 /f' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c Reg add HKLM\SYSTEM\CurrentControlSet\Services\ampa /v ImagePath /t REG_EXPAND_SZ /d system32\ampa.sys /f' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c Reg add HKLM\SYSTEM\CurrentControlSet\Services\ampa /v DisplayName /t REG_SZ /d ampa /f' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c if not exist <SYSTEM32>\ampa.sys copy /y Eng\764\ampa.sys <SYSTEM32>
'%WINDIR%\syswow64\cmd.exe' /c Reg add HKLM\SYSTEM\CurrentControlSet\Services\ampa /v Type /t REG_DWORD /d 1 /f
'%WINDIR%\syswow64\reg.exe' add HKLM\SYSTEM\CurrentControlSet\Services\ampa /v Type /t REG_DWORD /d 1 /f
'%WINDIR%\syswow64\cmd.exe' /c Reg add HKLM\SYSTEM\CurrentControlSet\Services\ampa /v Start /t REG_DWORD /d 3 /f
'%WINDIR%\syswow64\reg.exe' add HKLM\SYSTEM\CurrentControlSet\Services\ampa /v Start /t REG_DWORD /d 3 /f
'%WINDIR%\syswow64\cmd.exe' /c Reg add HKLM\SYSTEM\CurrentControlSet\Services\ampa /v ErrorControl /t REG_DWORD /d 0 /f
'%WINDIR%\syswow64\reg.exe' add HKLM\SYSTEM\CurrentControlSet\Services\ampa /v ErrorControl /t REG_DWORD /d 0 /f
'%WINDIR%\syswow64\cmd.exe' /c Reg add HKLM\SYSTEM\CurrentControlSet\Services\ampa /v ImagePath /t REG_EXPAND_SZ /d system32\ampa.sys /f
'%WINDIR%\syswow64\reg.exe' add HKLM\SYSTEM\CurrentControlSet\Services\ampa /v ImagePath /t REG_EXPAND_SZ /d system32\ampa.sys /f
'%WINDIR%\syswow64\cmd.exe' /c Reg add HKLM\SYSTEM\CurrentControlSet\Services\ampa /v DisplayName /t REG_SZ /d ampa /f
'%WINDIR%\syswow64\reg.exe' add HKLM\SYSTEM\CurrentControlSet\Services\ampa /v DisplayName /t REG_SZ /d ampa /f