Trojan.Siggen9.47360

Техническая информация

Изменения в файловой системе

Создает следующие файлы

<Текущая директория>\y11y5y4262.exe
%TEMP%\res26f3.tmp
%TEMP%\vbc26f2.tmp
%TEMP%\mrzmcpxk.out
%TEMP%\mrzmcpxk.cmdline
%TEMP%\mrzmcpxk.0.vb
%TEMP%\res1a13.tmp
%TEMP%\vbc1a02.tmp
%TEMP%\3jyt2qwg.out
%TEMP%\3jyt2qwg.cmdline
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\caasbycl\navcancl[1]
%TEMP%\3jyt2qwg.0.vb
<Текущая директория>\res.ini
<Текущая директория>\res.log
<Текущая директория>\user b255c60de.exe
%TEMP%\res8dc.tmp
%TEMP%\vbc8cc.tmp
%TEMP%\auyxhvxo.out
%TEMP%\auyxhvxo.cmdline
%TEMP%\auyxhvxo.0.vb
<Текущая директория>\res.exe
<Текущая директория>\user b255c60de.res
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\re1n75kr\errorpagetemplate[1]

Удаляет следующие файлы

%TEMP%\res8dc.tmp
%TEMP%\mrzmcpxk.out
%TEMP%\vbc26f2.tmp
%TEMP%\res26f3.tmp
%TEMP%\3jyt2qwg.0.vb
%TEMP%\3jyt2qwg.cmdline
%TEMP%\3jyt2qwg.out
%TEMP%\vbc1a02.tmp
%TEMP%\res1a13.tmp
<Текущая директория>\res.ini
<Текущая директория>\res.log
<Текущая директория>\res.exe
<Текущая директория>\user b255c60de.res
<Текущая директория>\user b255c60de.exe
%TEMP%\auyxhvxo.0.vb
%TEMP%\auyxhvxo.cmdline
%TEMP%\auyxhvxo.out
%TEMP%\vbc8cc.tmp
%TEMP%\mrzmcpxk.0.vb
%TEMP%\mrzmcpxk.cmdline

Перемещает следующие файлы

<Текущая директория>\y11y5y4262.exe в %HOMEPATH%\desktop\user y11y5y4262.exe

Подменяет следующие файлы

<Текущая директория>\res.exe
<Текущая директория>\user b255c60de.exe
<Текущая директория>\res.log
<Текущая директория>\res.ini
<Текущая директория>\user b255c60de.res

Изменяет файл HOSTS.

Самоудаляется.

Сетевая активность

TCP

'fa###ook.com':443

UDP

DNS ASK ek##nkk.net
DNS ASK en###eles.net
DNS ASK fa###ook.com

Другое

Ищет следующие окна

ClassName: 'MS_WINHELP' WindowName: ''
ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebCheckMonitor' WindowName: ''

Создает и запускает на исполнение

'<Текущая директория>\res.exe' -extract <Текущая директория>\user B255C60DE.exe,<Текущая директория>\user B255C60DE.res,VERSIONINFO,,
'<Текущая директория>\res.exe' -delete <Текущая директория>\Y11Y5Y4262.exe,<Текущая директория>\res.exe,VERSIONINFO,,
'<Текущая директория>\res.exe' -addoverwrite <Текущая директория>\Y11Y5Y4262.exe,<Текущая директория>\Y11Y5Y4262.exe,<Текущая директория>\user B255C60DE.res,VERSIONINFO,1,
'%HOMEPATH%\desktop\user y11y5y4262.exe'
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\auyxhvxo.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES8DC.tmp" "%TEMP%\vbc8CC.tmp"' (со скрытым окном)
'<Текущая директория>\res.exe' -extract <Текущая директория>\user B255C60DE.exe,<Текущая директория>\user B255C60DE.res,VERSIONINFO,,' (со скрытым окном)
'<Текущая директория>\res.exe' -delete <Текущая директория>\Y11Y5Y4262.exe,<Текущая директория>\res.exe,VERSIONINFO,,' (со скрытым окном)
'<Текущая директория>\res.exe' -addoverwrite <Текущая директория>\Y11Y5Y4262.exe,<Текущая директория>\Y11Y5Y4262.exe,<Текущая директория>\user B255C60DE.res,VERSIONINFO,1,' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\3jyt2qwg.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES1A13.tmp" "%TEMP%\vbc1A02.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\mrzmcpxk.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES26F3.tmp" "%TEMP%\vbc26F2.tmp"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /C choice /C Y /N /D Y /T 5 & Del "<Полный путь к файлу>"' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\auyxhvxo.cmdline"
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES8DC.tmp" "%TEMP%\vbc8CC.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\3jyt2qwg.cmdline"
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES1A13.tmp" "%TEMP%\vbc1A02.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\mrzmcpxk.cmdline"
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES26F3.tmp" "%TEMP%\vbc26F2.tmp"
'%WINDIR%\syswow64\cmd.exe' /C choice /C Y /N /D Y /T 5 & Del "<Полный путь к файлу>"
'%WINDIR%\syswow64\choice.exe' /C Y /N /D Y /T 5