Trojan.Siggen9.53206

Техническая информация

Для обеспечения автозапуска и распространения

Создает следующие сервисы

[<HKLM>\System\CurrentControlSet\Services\dcdbas] 'ImagePath' = 'system32\DRIVERS\dcdbas64.sys'

Изменения в файловой системе

Создает следующие файлы

%TEMP%\7zs85b73802\package.exe
%WINDIR%\temp\{e3a726bd-158d-42d4-8639-8e8984c2ec60}\hapi\dcmdev64.exe
%WINDIR%\temp\{e3a726bd-158d-42d4-8639-8e8984c2ec60}\hapi\dcwipm32.dll
%WINDIR%\temp\{e3a726bd-158d-42d4-8639-8e8984c2ec60}\hapi\hapint.exe
%WINDIR%\temp\{e3a726bd-158d-42d4-8639-8e8984c2ec60}\hapi\omsacntl.exe
%TEMP%\{4c742c27-1cab-795d-e9a6-11695e871974}\set5145.tmp
%TEMP%\{4c742c27-1cab-795d-e9a6-11695e871974}\set5378.tmp
%TEMP%\{4c742c27-1cab-795d-e9a6-11695e871974}\set559c.tmp
<SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\oem2.cat
%WINDIR%\temp\{e3a726bd-158d-42d4-8639-8e8984c2ec60}\hapi\dcdipm32.sys
%WINDIR%\temp\uddbffc.tmp
%WINDIR%\syswow64\dchapi32.dll
%WINDIR%\hapint.exe
%WINDIR%\dcmdev64.exe
%WINDIR%\dchcfg32.exe
%WINDIR%\syswow64\dchcfl32.dll
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\caasbycl\104[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\re1n75kr\styles[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\0u8lpyu9\script[1]
%WINDIR%\temp\{e3a726bd-158d-42d4-8639-8e8984c2ec60}\hapi\dciwds32.exe
%WINDIR%\temp\{e3a726bd-158d-42d4-8639-8e8984c2ec60}\hapi\dcmdev32.exe
%WINDIR%\temp\{e3a726bd-158d-42d4-8639-8e8984c2ec60}\hapi\dchtvm32.dll
%WINDIR%\temp\{e3a726bd-158d-42d4-8639-8e8984c2ec60}\hapi\dchtst32.exe
%WINDIR%\temp\{e3a726bd-158d-42d4-8639-8e8984c2ec60}\hapi\dchipm32.dll
%WINDIR%\temp\{e3a726bd-158d-42d4-8639-8e8984c2ec60}\hapi.zip
%WINDIR%\temp\{e3a726bd-158d-42d4-8639-8e8984c2ec60}\hapinst.bat
%WINDIR%\temp\{e3a726bd-158d-42d4-8639-8e8984c2ec60}\hapi\dcdbas32.cat
%WINDIR%\temp\{e3a726bd-158d-42d4-8639-8e8984c2ec60}\hapi\dcdbas32.inf
%WINDIR%\temp\{e3a726bd-158d-42d4-8639-8e8984c2ec60}\hapi\dcdbas32.sys
%WINDIR%\temp\{e3a726bd-158d-42d4-8639-8e8984c2ec60}\hapi\dcdbas64.cat
%WINDIR%\temp\{e3a726bd-158d-42d4-8639-8e8984c2ec60}\hapi\dcdbas64.inf
%WINDIR%\temp\{e3a726bd-158d-42d4-8639-8e8984c2ec60}\hapi\dcdbas64.sys
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\caasbycl\close[1]
%WINDIR%\syswow64\dchbas32.dll
%WINDIR%\temp\{e3a726bd-158d-42d4-8639-8e8984c2ec60}\hapi\dcdesm32.sys
%WINDIR%\temp\{e3a726bd-158d-42d4-8639-8e8984c2ec60}\hapi\dcdtvm32.sys
%WINDIR%\temp\{e3a726bd-158d-42d4-8639-8e8984c2ec60}\hapi\dcesm.sys
%WINDIR%\temp\{e3a726bd-158d-42d4-8639-8e8984c2ec60}\hapi\dcesmwdm.sys
%WINDIR%\temp\{e3a726bd-158d-42d4-8639-8e8984c2ec60}\hapi\dchapi32.dll
%WINDIR%\temp\{e3a726bd-158d-42d4-8639-8e8984c2ec60}\hapi\dchbas32.dll
%WINDIR%\temp\{e3a726bd-158d-42d4-8639-8e8984c2ec60}\hapi\dchcfg32.exe
%WINDIR%\temp\{e3a726bd-158d-42d4-8639-8e8984c2ec60}\hapi\dchcfl32.dll
%WINDIR%\temp\{e3a726bd-158d-42d4-8639-8e8984c2ec60}\hapi\dchesm32.dll
%PROGRAMDATA%\dell\updatepackage\log\package.txt
%WINDIR%\temp\{e3a726bd-158d-42d4-8639-8e8984c2ec60}\hapi\dcdipm64.sys
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\bzjx5bke\info[1]

Присваивает атрибут 'скрытый' для следующих файлов

<SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\oem2.cat

Удаляет следующие файлы

%TEMP%\{4c742c27-1cab-795d-e9a6-11695e871974}\dcdbas64.cat
%TEMP%\{4c742c27-1cab-795d-e9a6-11695e871974}\dcdbas64.inf
%TEMP%\{4c742c27-1cab-795d-e9a6-11695e871974}\dcdbas64.sys
%WINDIR%\temp\uddbffc.tmp

Перемещает следующие файлы

%TEMP%\{4c742c27-1cab-795d-e9a6-11695e871974}\set5145.tmp в %TEMP%\{4c742c27-1cab-795d-e9a6-11695e871974}\dcdbas64.cat
%TEMP%\{4c742c27-1cab-795d-e9a6-11695e871974}\set5378.tmp в %TEMP%\{4c742c27-1cab-795d-e9a6-11695e871974}\dcdbas64.inf
%TEMP%\{4c742c27-1cab-795d-e9a6-11695e871974}\set559c.tmp в %TEMP%\{4c742c27-1cab-795d-e9a6-11695e871974}\dcdbas64.sys

Другое

Ищет следующие окна

ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebCheckMonitor' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\7zs85b73802\package.exe'
'%WINDIR%\temp\{e3a726bd-158d-42d4-8639-8e8984c2ec60}\hapi\hapint.exe' -k SPHAPIDA5 -p %WINDIR%\hapint.exe -q
'%WINDIR%\temp\{e3a726bd-158d-42d4-8639-8e8984c2ec60}\hapi\dcmdev64.exe' remove root\dcdbas
'%WINDIR%\temp\{e3a726bd-158d-42d4-8639-8e8984c2ec60}\hapi\dcmdev64.exe' install .\dcdbas64.inf root\dcdbas
'%WINDIR%\temp\{e3a726bd-158d-42d4-8639-8e8984c2ec60}\hapi\dchcfg32.exe' command=getsupportedsystypes
'%WINDIR%\syswow64\cmd.exe' /c ""%WINDIR%\temp\{E3A726BD-158D-42D4-8639-8E8984C2EC60}\hapinst.bat" install"' (со скрытым окном)
'%WINDIR%\temp\{e3a726bd-158d-42d4-8639-8e8984c2ec60}\hapi\dcmdev64.exe' remove root\dcdbas' (со скрытым окном)
'%WINDIR%\temp\{e3a726bd-158d-42d4-8639-8e8984c2ec60}\hapi\dcmdev64.exe' install .\dcdbas64.inf root\dcdbas' (со скрытым окном)
'%WINDIR%\temp\{e3a726bd-158d-42d4-8639-8e8984c2ec60}\hapi\dchcfg32.exe' command=getsupportedsystypes' (со скрытым окном)

Запускает на исполнение