Trojan.Siggen9.53186

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[<HKLM>\System\CurrentControlSet\Services\dcdbas] 'ImagePath' = 'system32\DRIVERS\dcdbas64.sys'

Создает следующие сервисы

'dcdbas' system32\DRIVERS\dcdbas64.sys

Изменения в файловой системе

Создает следующие файлы

%TEMP%\7zs09af6330\package.exe
%TEMP%\{11e7c0cb-a1b9-6353-4e17-174615055029}\set7216.tmp
%TEMP%\{11e7c0cb-a1b9-6353-4e17-174615055029}\set73bd.tmp
<SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\oem2.cat
%WINDIR%\temp\uddd217.tmp
%WINDIR%\syswow64\dchbas32.dll
%WINDIR%\syswow64\dchapi32.dll
%WINDIR%\hapint.exe
%WINDIR%\dcmdev64.exe
%WINDIR%\dchcfg32.exe
%WINDIR%\temp\{435adf41-fc72-43d4-9d01-1dc41eb8a26d}\hapinst.bat
%TEMP%\{11e7c0cb-a1b9-6353-4e17-174615055029}\set70bd.tmp
%WINDIR%\syswow64\dchcfl32.dll
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\0u8lpyu9\script[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\caasbycl\background[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\bzjx5bke\header[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\re1n75kr\action_button_blue_up_left[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\0u8lpyu9\action_button_blue_up_middle[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\caasbycl\action_button_blue_up_right[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\bzjx5bke\arrow[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\re1n75kr\footer[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\0u8lpyu9\close[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\caasbycl\104[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\re1n75kr\styles[1]
%WINDIR%\temp\{435adf41-fc72-43d4-9d01-1dc41eb8a26d}\hapi\testhapi.exe
%WINDIR%\temp\{435adf41-fc72-43d4-9d01-1dc41eb8a26d}\hapi\hapint.exe
%WINDIR%\temp\{435adf41-fc72-43d4-9d01-1dc41eb8a26d}\hapi\dcwipm32.dll
%WINDIR%\temp\{435adf41-fc72-43d4-9d01-1dc41eb8a26d}\hapi.zip
%WINDIR%\temp\{435adf41-fc72-43d4-9d01-1dc41eb8a26d}\hapi\dcdbas32.cat
%WINDIR%\temp\{435adf41-fc72-43d4-9d01-1dc41eb8a26d}\hapi\dcdbas32.inf
%WINDIR%\temp\{435adf41-fc72-43d4-9d01-1dc41eb8a26d}\hapi\dcdbas32.sys
%WINDIR%\temp\{435adf41-fc72-43d4-9d01-1dc41eb8a26d}\hapi\dcdbas64.cat
%WINDIR%\temp\{435adf41-fc72-43d4-9d01-1dc41eb8a26d}\hapi\dcdbas64.inf
%WINDIR%\temp\{435adf41-fc72-43d4-9d01-1dc41eb8a26d}\hapi\dcdbas64.sys
%WINDIR%\temp\{435adf41-fc72-43d4-9d01-1dc41eb8a26d}\hapi\dcdesm32.sys
%WINDIR%\temp\{435adf41-fc72-43d4-9d01-1dc41eb8a26d}\hapi\dcdipm32.sys
%WINDIR%\temp\{435adf41-fc72-43d4-9d01-1dc41eb8a26d}\hapi\dcdipm64.sys
%PROGRAMDATA%\dell\updatepackage\log\package.txt
%WINDIR%\temp\{435adf41-fc72-43d4-9d01-1dc41eb8a26d}\hapi\dcdtvm32.sys
%WINDIR%\temp\{435adf41-fc72-43d4-9d01-1dc41eb8a26d}\hapi\dcesmwdm.sys
%WINDIR%\temp\{435adf41-fc72-43d4-9d01-1dc41eb8a26d}\hapi\dchapi.cer
%WINDIR%\temp\{435adf41-fc72-43d4-9d01-1dc41eb8a26d}\hapi\dchapi32.dll
%WINDIR%\temp\{435adf41-fc72-43d4-9d01-1dc41eb8a26d}\hapi\dchbas32.dll
%WINDIR%\temp\{435adf41-fc72-43d4-9d01-1dc41eb8a26d}\hapi\dchcfg32.exe
%WINDIR%\temp\{435adf41-fc72-43d4-9d01-1dc41eb8a26d}\hapi\dchcfl32.dll
%WINDIR%\temp\{435adf41-fc72-43d4-9d01-1dc41eb8a26d}\hapi\dchipm32.dll
%WINDIR%\temp\{435adf41-fc72-43d4-9d01-1dc41eb8a26d}\hapi\dciwds32.exe
%WINDIR%\temp\{435adf41-fc72-43d4-9d01-1dc41eb8a26d}\hapi\dcmdev32.exe
%WINDIR%\temp\{435adf41-fc72-43d4-9d01-1dc41eb8a26d}\hapi\dcmdev64.exe
%WINDIR%\temp\{435adf41-fc72-43d4-9d01-1dc41eb8a26d}\hapi\dcesm.sys
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\caasbycl\info[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\bzjx5bke\arrow[2]

Присваивает атрибут 'скрытый' для следующих файлов

<SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\oem2.cat

Удаляет следующие файлы

%TEMP%\{11e7c0cb-a1b9-6353-4e17-174615055029}\dcdbas64.cat
%TEMP%\{11e7c0cb-a1b9-6353-4e17-174615055029}\dcdbas64.inf
%TEMP%\{11e7c0cb-a1b9-6353-4e17-174615055029}\dcdbas64.sys
%WINDIR%\temp\uddd217.tmp
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\bzjx5bke\arrow[1]

Перемещает следующие файлы

%TEMP%\{11e7c0cb-a1b9-6353-4e17-174615055029}\set70bd.tmp в %TEMP%\{11e7c0cb-a1b9-6353-4e17-174615055029}\dcdbas64.cat
%TEMP%\{11e7c0cb-a1b9-6353-4e17-174615055029}\set7216.tmp в %TEMP%\{11e7c0cb-a1b9-6353-4e17-174615055029}\dcdbas64.inf
%TEMP%\{11e7c0cb-a1b9-6353-4e17-174615055029}\set73bd.tmp в %TEMP%\{11e7c0cb-a1b9-6353-4e17-174615055029}\dcdbas64.sys

Другое

Ищет следующие окна

ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebCheckMonitor' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\7zs09af6330\package.exe'
'%WINDIR%\temp\{435adf41-fc72-43d4-9d01-1dc41eb8a26d}\hapi\hapint.exe' -k SPHAPIDA5 -p %WINDIR%\hapint.exe -q
'%WINDIR%\temp\{435adf41-fc72-43d4-9d01-1dc41eb8a26d}\hapi\dcmdev64.exe' remove root\dcdbas
'%WINDIR%\temp\{435adf41-fc72-43d4-9d01-1dc41eb8a26d}\hapi\dcmdev64.exe' install .\dcdbas64.inf root\dcdbas
'%WINDIR%\temp\{435adf41-fc72-43d4-9d01-1dc41eb8a26d}\hapi\dchcfg32.exe' command=getsupportedsystypes
'%WINDIR%\syswow64\cmd.exe' /c ""%WINDIR%\temp\{435ADF41-FC72-43D4-9D01-1DC41EB8A26D}\hapinst.bat" install"' (со скрытым окном)
'%WINDIR%\temp\{435adf41-fc72-43d4-9d01-1dc41eb8a26d}\hapi\dcmdev64.exe' remove root\dcdbas' (со скрытым окном)
'%WINDIR%\temp\{435adf41-fc72-43d4-9d01-1dc41eb8a26d}\hapi\dcmdev64.exe' install .\dcdbas64.inf root\dcdbas' (со скрытым окном)
'%WINDIR%\temp\{435adf41-fc72-43d4-9d01-1dc41eb8a26d}\hapi\dchcfg32.exe' command=getsupportedsystypes' (со скрытым окном)

Запускает на исполнение