Trojan.Siggen9.43320

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'DiskFixer' = '"%ProgramFiles(x86)%\DiskFixer\DiskFixer.exe"'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] '4fwn2awlmin' = '"%ProgramFiles(x86)%\Max\438952661.exe" 1 3.1588156981.5ea95a35eed9f'
[<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'kissq' = '%TEMP%\kissq.exe'

Создает следующие сервисы

[<HKLM>\System\CurrentControlSet\Services\ByteDownloadV3.1] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\ByteDownloadV3.1] 'ImagePath' = '%TEMP%\Temp\003.exe'

Вредоносные функции

Создает и запускает на исполнение

Изменения в файловой системе

Создает следующие файлы

%WINDIR%\serviceprofiles\networkservice\appdata\locallow\microsoft\cryptneturlcache\metadata\f0accf77cdcbff39f6191887f6d2d357
%TEMP%\jfiag_gg.exe
%TEMP%\temp\jhuimme.exe
%ProgramFiles(x86)%\diskfixer\unins000.dat
%HOMEPATH%\desktop\diskfixer.lnk
%ProgramFiles(x86)%\diskfixer\is-b0lo0.tmp
%ProgramFiles(x86)%\diskfixer\is-lsf5s.tmp
%ProgramFiles(x86)%\diskfixer\is-014ng.tmp
%TEMP%\is-lc85l.tmp\_isetup\_setup64.tmp
%TEMP%\is-tm7fl.tmp\jgewwiy3far.tmp
%TEMP%\jgewwiy3far.exe
%ProgramFiles(x86)%\max\438952661.exe.config
%ProgramFiles(x86)%\max\438952661.exe
%TEMP%\fjgha23_fa.txt
%TEMP%\is-t7c5l.tmp\piwfast.exe
%TEMP%\is-t7c5l.tmp\is-ve7s7.tmp
%TEMP%\is-t7c5l.tmp\is-k5mpn.tmp
%TEMP%\is-t7c5l.tmp\_isetup\_isdecmp.dll
%TEMP%\is-t7c5l.tmp\_isetup\_setup64.tmp
%TEMP%\is-jrnj8.tmp\disksetup.tmp
%TEMP%\temp\disksetup.exe
%APPDATA%\mozilla\firefox\profiles\gn7ryp~1.def\cookies.sqlite-shm
%LOCALAPPDATA%\google\chrome\userda~1\default\login data.bak
%WINDIR%\syswow64\config.ini
<Текущая директория>\config.ini
%TEMP%\temp\003.exe
%WINDIR%\serviceprofiles\networkservice\appdata\locallow\microsoft\cryptneturlcache\content\f0accf77cdcbff39f6191887f6d2d357
%TEMP%\is-t7c5l.tmp\piwfast.exe.config
%TEMP%\kissq.exe

Удаляет следующие файлы

Перемещает следующие файлы

%TEMP%\is-t7c5l.tmp\is-k5mpn.tmp в %TEMP%\is-t7c5l.tmp\piwfast.exe.config
%TEMP%\is-t7c5l.tmp\is-ve7s7.tmp в %TEMP%\is-t7c5l.tmp\piwfast.exe
%ProgramFiles(x86)%\diskfixer\is-014ng.tmp в %ProgramFiles(x86)%\diskfixer\unins000.exe
%ProgramFiles(x86)%\diskfixer\is-lsf5s.tmp в %ProgramFiles(x86)%\diskfixer\diskfixer.exe
%ProgramFiles(x86)%\diskfixer\is-b0lo0.tmp в %ProgramFiles(x86)%\diskfixer\linqbridge.dll

Сетевая активность

TCP

Запросы HTTP GET

Запросы HTTP POST

'ip###ger.org':443

'sp#####.##-eu-west-1.amazonaws.com':443

'pc.####icnewsetup.com':443

'ma####.###eu-west-1.amazonaws.com':443

'fa###ook.com':443

UDP

Другое

Создает и запускает на исполнение

'%TEMP%\temp\003.exe'
'%TEMP%\temp\disksetup.exe' /VERYSILENT /m=0 /id=305e9eadba158d07.10892916 /sub_id=917
'%TEMP%\is-jrnj8.tmp\disksetup.tmp' /SL5="$40238,390233,58368,%TEMP%\Temp\DiskSetup.exe" /VERYSILENT /m=0 /id=305e9eadba158d07.10892916 /sub_id=917
'%ProgramFiles(x86)%\max\438952661.exe' 0 305e9eadba158d07.10892916 0 917 0
'%TEMP%\jgewwiy3far.exe' /VERYSILENT
'%TEMP%\is-tm7fl.tmp\jgewwiy3far.tmp' /SL5="$B0222,229882,58368,%TEMP%\jgewwiy3far.exe" /VERYSILENT
'%ProgramFiles(x86)%\max\438952661.exe' 1 3.1588156981.5ea95a35eed9f
'%ProgramFiles(x86)%\max\438952661.exe' 2 3.1588156981.5ea95a35eed9f
'%TEMP%\temp\jhuimme.exe'
'%TEMP%\jfiag_gg.exe' /scookiestxt %TEMP%\fjgha23_fa.txt
'%TEMP%\jfiag_gg.exe' /scookiestxt %TEMP%\fjgha23_fa.txt' (со скрытым окном)