Trojan.Siggen9.53489

Техническая информация

Вредоносные функции

Внедряет код в

следующие системные процессы:

%WINDIR%\microsoft.net\framework\v2.0.50727\regasm.exe

Изменения в файловой системе

Создает следующие файлы

%HOMEPATH%\readerdc_fr_a_install.exe
%LOCALAPPDATA%\adobe\a0f32140-ca2a-46e8-8d61-de2ff5c6b277\progressbar_pole_null_150.png
%LOCALAPPDATA%\adobe\a0f32140-ca2a-46e8-8d61-de2ff5c6b277\yellow_button_200.png
%LOCALAPPDATA%\adobe\a0f32140-ca2a-46e8-8d61-de2ff5c6b277\yellow_button_100.png
%LOCALAPPDATA%\adobe\a0f32140-ca2a-46e8-8d61-de2ff5c6b277\yellow_button_125.png
%LOCALAPPDATA%\adobe\a0f32140-ca2a-46e8-8d61-de2ff5c6b277\yellow_button_150.png
%LOCALAPPDATA%\adobe\a0f32140-ca2a-46e8-8d61-de2ff5c6b277\yellow_button_mini_200.png
%LOCALAPPDATA%\adobe\a0f32140-ca2a-46e8-8d61-de2ff5c6b277\yellow_button_mini_100.png
%LOCALAPPDATA%\adobe\a0f32140-ca2a-46e8-8d61-de2ff5c6b277\yellow_button_mini_125.png
%LOCALAPPDATA%\adobe\a0f32140-ca2a-46e8-8d61-de2ff5c6b277\progressbar_pole_null_100.png
%LOCALAPPDATA%\adobe\a0f32140-ca2a-46e8-8d61-de2ff5c6b277\progressbar_pole_null_125.png
%LOCALAPPDATA%\adobe\a0f32140-ca2a-46e8-8d61-de2ff5c6b277\yellow_button_mini_150.png
%LOCALAPPDATA%\adobe\a0f32140-ca2a-46e8-8d61-de2ff5c6b277\yellow_button_short_125.png
%LOCALAPPDATA%\adobe\a0f32140-ca2a-46e8-8d61-de2ff5c6b277\yellow_button_short_150.png
%LOCALAPPDATA%\adobe\a0f32140-ca2a-46e8-8d61-de2ff5c6b277\info_icon_100.png
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\re1n75kr\sc[1]
%LOCALAPPDATA%\adobe\a0f32140-ca2a-46e8-8d61-de2ff5c6b277\723f36ee-9ab1-4ed1-a6ed-8ea20ab51273
%LOCALAPPDATA%\adobe\a0f32140-ca2a-46e8-8d61-de2ff5c6b277\gccheck_small.exe
%LOCALAPPDATA%\adobe\a0f32140-ca2a-46e8-8d61-de2ff5c6b277\gtcheck.exe
%LOCALAPPDATA%\adobe\a0f32140-ca2a-46e8-8d61-de2ff5c6b277\c9bd81ea-695b-425e-9f1b-da1f7b94b694\3cd35e47-6839-479a-8542-deecdb7e464d.aamdownload
%LOCALAPPDATA%\adobe\a0f32140-ca2a-46e8-8d61-de2ff5c6b277\yellow_button_short_200.png
%LOCALAPPDATA%\adobe\a0f32140-ca2a-46e8-8d61-de2ff5c6b277\yellow_button_short_100.png
%LOCALAPPDATA%\adobe\a0f32140-ca2a-46e8-8d61-de2ff5c6b277\progressbar_pole_null_200.png
%LOCALAPPDATA%\adobe\a0f32140-ca2a-46e8-8d61-de2ff5c6b277\close_200.png
%LOCALAPPDATA%\adobe\a0f32140-ca2a-46e8-8d61-de2ff5c6b277\gray_button_200.png
%LOCALAPPDATA%\adobe\a0f32140-ca2a-46e8-8d61-de2ff5c6b277\warning_icon_200.png
%LOCALAPPDATA%\adobe\a0f32140-ca2a-46e8-8d61-de2ff5c6b277\status_icon_caution_200.png
%LOCALAPPDATA%\adobe\a0f32140-ca2a-46e8-8d61-de2ff5c6b277\status_icon_caution_100.png
%LOCALAPPDATA%\adobe\a0f32140-ca2a-46e8-8d61-de2ff5c6b277\status_icon_caution_125.png
%LOCALAPPDATA%\adobe\a0f32140-ca2a-46e8-8d61-de2ff5c6b277\status_icon_caution_150.png
%LOCALAPPDATA%\adobe\a0f32140-ca2a-46e8-8d61-de2ff5c6b277\status_icon_x_200.png
%LOCALAPPDATA%\adobe\a0f32140-ca2a-46e8-8d61-de2ff5c6b277\status_icon_x_100.png
%LOCALAPPDATA%\adobe\a0f32140-ca2a-46e8-8d61-de2ff5c6b277\status_icon_x_125.png
%LOCALAPPDATA%\adobe\a0f32140-ca2a-46e8-8d61-de2ff5c6b277\status_icon_x_150.png
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\bzjx5bke\160[1]
%LOCALAPPDATA%\adobe\a0f32140-ca2a-46e8-8d61-de2ff5c6b277\status_icon_check_200.png
%LOCALAPPDATA%\adobe\a0f32140-ca2a-46e8-8d61-de2ff5c6b277\status_icon_check_125.png
%LOCALAPPDATA%\adobe\a0f32140-ca2a-46e8-8d61-de2ff5c6b277\status_icon_check_150.png
%LOCALAPPDATA%\adobe\a0f32140-ca2a-46e8-8d61-de2ff5c6b277\progressbar_darkgray_base_200.png
%LOCALAPPDATA%\adobe\a0f32140-ca2a-46e8-8d61-de2ff5c6b277\progressbar_darkgray_base_100.png
%LOCALAPPDATA%\adobe\a0f32140-ca2a-46e8-8d61-de2ff5c6b277\progressbar_blue_active_200.png
%LOCALAPPDATA%\adobe\a0f32140-ca2a-46e8-8d61-de2ff5c6b277\progressbar_blue_active_100.png
%LOCALAPPDATA%\adobe\a0f32140-ca2a-46e8-8d61-de2ff5c6b277\progressbar_blue_active_125.png
%LOCALAPPDATA%\adobe\a0f32140-ca2a-46e8-8d61-de2ff5c6b277\progressbar_blue_active_150.png
%LOCALAPPDATA%\adobe\a0f32140-ca2a-46e8-8d61-de2ff5c6b277\transparent.gif
%LOCALAPPDATA%\adobe\a0f32140-ca2a-46e8-8d61-de2ff5c6b277\status_icon_check_100.png
%LOCALAPPDATA%\adobe\a0f32140-ca2a-46e8-8d61-de2ff5c6b277\c9bd81ea-695b-425e-9f1b-da1f7b94b694\ae122d95-d017-4b3c-b9a0-a498f54e2c3e.aamdownload.aamd
%LOCALAPPDATA%\adobe\a0f32140-ca2a-46e8-8d61-de2ff5c6b277\c9bd81ea-695b-425e-9f1b-da1f7b94b694\ae122d95-d017-4b3c-b9a0-a498f54e2c3e.aamdownload

Перемещает следующие файлы

%LOCALAPPDATA%\adobe\a0f32140-ca2a-46e8-8d61-de2ff5c6b277\c9bd81ea-695b-425e-9f1b-da1f7b94b694\3cd35e47-6839-479a-8542-deecdb7e464d.aamdownload в %LOCALAPPDATA%\adobe\a0f32140-ca2a-46e8-8d61-de2ff5c6b277\c9bd81ea-695b-425e-9f1b-da1f7b94b694\3cd35e47-6839-479a-8542-deecdb7e464d

Подменяет следующие файлы

%TEMP%\Adobe_ADMLogs\Adobe_ADM.log
%TEMP%\Adobe_ADMLogs\Adobe_GDE.log

Сетевая активность

Подключается к

'ardownload2.adobe.com':443

TCP

Запросы HTTP GET

http://stats.adobe.com/b/ss/adbacdcprod/1/H.25.4/s49270447318136?AQ##############################################################################################################################...

'admdownload.adobe.com':443

'drive.google.com':443

'get.adobe.com':443

'dlmping2.adobe.com':443

'do#########ocs.googleusercontent.com':443

UDP

DNS ASK admdownload.adobe.com
DNS ASK drive.google.com
DNS ASK get.adobe.com
DNS ASK stats.adobe.com
DNS ASK dlmping2.adobe.com
DNS ASK platformdl.adobe.com
DNS ASK do#########ocs.googleusercontent.com
DNS ASK ardownload2.adobe.com

Другое

Ищет следующие окна

ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebCheckMonitor' WindowName: ''
ClassName: 'Shell_traywnd' WindowName: ''

Создает и запускает на исполнение

'%HOMEPATH%\readerdc_fr_a_install.exe'
'%LOCALAPPDATA%\adobe\a0f32140-ca2a-46e8-8d61-de2ff5c6b277\gccheck_small.exe' -chromeEligibilityTest -shellMode:standard
'%LOCALAPPDATA%\adobe\a0f32140-ca2a-46e8-8d61-de2ff5c6b277\gccheck_small.exe' -canOfferReactivation -shellMode:standard -brandCode:ARRC
'%LOCALAPPDATA%\adobe\a0f32140-ca2a-46e8-8d61-de2ff5c6b277\gtcheck.exe'
'%WINDIR%\microsoft.net\framework\v2.0.50727\regasm.exe' ' (со скрытым окном)

Запускает на исполнение