Trojan.Siggen9.53355

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\system\systemcheck
<SYSTEM32>\tasks\h-6-5-32-1234710657-1295780504-1331820264-4555\{mnd2ywz4-ktso-7xh8-sekx-uzf5r3tuvo3w}

Вредоносные функции

Читает файлы, отвечающие за хранение паролей сторонними программами

Изменения в файловой системе

Создает следующие файлы

%TEMP%\aut5fc5.tmp
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\index.dat
%APPDATA%\msil_system.drawing.primitives\abc\telegram\d877f783d5d3ef8c1
%APPDATA%\msil_system.drawing.primitives\abc\telegram\инструкция по установке.txt
%APPDATA%\msil_system.drawing.primitives\abc\telegram\d877f783d5d3ef8c\map0
%APPDATA%\msil_system.drawing.primitives\abc\steam\config\dialogconfig.vdf
%APPDATA%\msil_system.drawing.primitives\abc\steam\инструкция по установке.txt
%APPDATA%\msil_system.drawing.primitives\abc\steam\config\config.vdf
%APPDATA%\msil_system.drawing.primitives\abc\desktop txt files\file_p_00000000_1371597592.docx
%APPDATA%\msil_system.drawing.primitives\abc\screen.jpg
%TEMP%\~efhiyrx.tmp
%TEMP%\aut54a6.tmp
%APPDATA%\microsoft\windows\cookies\low\index.dat
%APPDATA%\msil_system.drawing.primitives\mfc42u.sqlite3.module.dll
%TEMP%\aut535d.tmp
%APPDATA%\msil_system.drawing.primitives\enu_fe97a2fba73ef8022535
%TEMP%\systemcheck.xml
%TEMP%\build.exe
%TEMP%\aut1fb8.tmp
%TEMP%\cl_debug_log.txt
%TEMP%\aut1f2b.tmp
%TEMP%\cr_debug_log.txt
%WINDIR%\serviceprofiles\networkservice\appdata\locallow\microsoft\cryptneturlcache\content\f0accf77cdcbff39f6191887f6d2d357
%WINDIR%\serviceprofiles\networkservice\appdata\locallow\microsoft\cryptneturlcache\metadata\f0accf77cdcbff39f6191887f6d2d357
%TEMP%\asacpiex.dll
%APPDATA%\msil_system.drawing.primitives\mfc42u.sqlite3.module.dll.1
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\index.dat

Удаляет следующие файлы

Перемещает следующие файлы

Сетевая активность

TCP

Запросы HTTP GET

'2n#.co':443

UDP

Другое

Создает и запускает на исполнение

'%TEMP%\cl_debug_log.txt' e -p"JDQJndnqwdnqw2139dn21n3b312idDQDB" "%TEMP%\CR_Debug_Log.txt" -o"%TEMP%\"
'%TEMP%\build.exe'
'%APPDATA%\msil_system.drawing.primitives\mfc42u.exe'
'%TEMP%\cl_debug_log.txt' e -p"JDQJndnqwdnqw2139dn21n3b312idDQDB" "%TEMP%\CR_Debug_Log.txt" -o"%TEMP%\"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c schtasks.exe /Create /XML "%TEMP%\SystemCheck.xml" /TN "System\SystemCheck"' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c schtasks.exe /Create /XML "%TEMP%\SystemCheck.xml" /TN "System\SystemCheck"
'%WINDIR%\syswow64\schtasks.exe' /Create /XML "%TEMP%\SystemCheck.xml" /TN "System\SystemCheck"
'%WINDIR%\syswow64\rundll32.exe' "%WINDIR%\syswow64\WININET.dll",DispatchAPICall 1