Trojan.Siggen1.20810

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices] 'DAO360Microsoft' = '%CommonProgramFiles%\microsoft shared\dao\microsoftmicrosoft.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices] 'mscorierFramework' = '%PROGRAM_FILES%\internet explorer\mui\0409\mscoriermscorier.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices] 'DataData' = '%CommonProgramFiles%\system\ado\datamicrosoft.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices] 'ComponentEditing' = '%CommonProgramFiles%\microsoft shared\triedit\componenttriedit.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices] '<Имя вируса>' = '<Полный путь к вирусу>'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '<Имя вируса>' = '<Полный путь к вирусу>'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'ComponentsComponents' = '%CommonProgramFiles%\system\msadc\msdfmapmicrosoft.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'DWIntl20Error' = '%CommonProgramFiles%\microsoft shared\dw\1036\dwintl20error11.0.5510.exe'

Вредоносные функции:

Создает и запускает на исполнение:

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\a2.tmp
%TEMP%\a3.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\getfile[1].php
%CommonProgramFiles%\Microsoft Shared\Triedit\ComponentTRIEDIT.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\ldr123[1].php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\getfile[1].php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\getfile[1].php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\getfile[2].php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\getfile[2].php
%TEMP%\a4.tmp
%TEMP%\a5.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\ldr123[1].php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\windowsupdate.microsoft[1]
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\ldr123[1].php
%TEMP%\a1.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\ldr123[1].php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\getfile[1].php
%CommonProgramFiles%\System\ado\DataMicrosoft.exe
%CommonProgramFiles%\Microsoft Shared\DAO\MicrosoftMicrosoft.exe
%CommonProgramFiles%\System\msadc\msdfmapMicrosoft.exe
%CommonProgramFiles%\Microsoft Shared\DW\1036\DWIntl20Error11.0.5510.exe
%PROGRAM_FILES%\Internet Explorer\MUI\0409\mscoriermscorier.exe

Удаляет следующие файлы:

%TEMP%\a3.tmp
%TEMP%\a2.tmp
%TEMP%\a5.tmp
%TEMP%\a4.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\ldr123[1].php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\ldr123[1].php
%TEMP%\a1.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\ldr123[1].php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\ldr123[1].php

Сетевая активность:

Подключается к:

TCP:

Запросы HTTP GET:

ne####etyplace.com/httpss/ldr123.php?v=##################################################
ne####etyplace.com/getfile.php?r=############################################################################################
ne####etyplace.com/getfile.php?r=#############################################################################################
ne####etyplace.com/httpss/ldr123.php?v=#################################################
20#.#6.232.182/

UDP: