Trojan.Siggen9.58270

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[<HKLM>\System\CurrentControlSet\Services\SbieDrv] 'ImagePath' = '%ProgramFiles%\Sandboxie\SbieDrv.sys'
[<HKLM>\System\CurrentControlSet\Services\SbieSvc] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\SbieSvc] 'ImagePath' = '"%ProgramFiles%\Sandboxie\SbieSvc.exe"'

Создает следующие сервисы

'SbieDrv' %ProgramFiles%\Sandboxie\SbieDrv.sys
'SbieSvc' "%ProgramFiles%\Sandboxie\SbieSvc.exe"
'SbieSvc' %ProgramFiles%\Sandboxie\SbieSvc.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\aut5a47.tmp
%ProgramFiles%\sandboxie\templates.ini
%ProgramFiles%\sandboxie\manifest0.txt
%ProgramFiles%\sandboxie\manifest1.txt
%ProgramFiles%\sandboxie\manifest2.txt
%ProgramFiles%\sandboxie\sbieini.exe
%ProgramFiles%\sandboxie\license.exe
%ProgramFiles%\sandboxie\license.txt
%ProgramFiles%\sandboxie\quicklaunch.lnk
%WINDIR%\installer\sandboxieinstall64.exe
%PROGRAMDATA%\microsoft\windows\start menu\programs\sandboxie\sandboxie start menu.lnk
%WINDIR%\temp\uddba1f.tmp
%PROGRAMDATA%\microsoft\windows\start menu\programs\sandboxie\run web browser sandboxed.lnk
%PROGRAMDATA%\microsoft\windows\start menu\programs\sandboxie\run windows explorer sandboxed.lnk
%PROGRAMDATA%\microsoft\windows\start menu\programs\sandboxie\sandboxie control.lnk
%PROGRAMDATA%\microsoft\windows\start menu\programs\sandboxie\uninstall sandboxie.lnk
%WINDIR%\temp\udd9415.tmp
%WINDIR%\temp\udd9fed.tmp
C:\users\public\desktop\sandboxie control.lnk
%WINDIR%\temp\uddaa5e.tmp
%WINDIR%\temp\uddb23f.tmp
%ProgramFiles%\sandboxie\sbiectrl.exe
%PROGRAMDATA%\microsoft\windows\start menu\programs\sandboxie\run any program sandboxed.lnk
%ProgramFiles%\sandboxie\start.exe
%TEMP%\nsi644c.tmp\inetc.dll
%CommonProgramFiles(x86)%\~jadlrsb.tmp
%TEMP%\sandboxieinstall-64-bit-1073593.exe
%TEMP%\nsc642b.tmp
%TEMP%\nsi644c.tmp\system.dll
%TEMP%\nsi644c.tmp\installtype.ini
%TEMP%\nsi644c.tmp\warning.ini
%TEMP%\nsi644c.tmp\kmdutil.exe
%TEMP%\nsi644c.tmp\sbiemsg.dll
%TEMP%\nsi644c.tmp\sbiedll.dll
%ProgramFiles%\sandboxie\sbiedll.dll
%ProgramFiles%\sandboxie\sandboxiecrypto.exe
%ProgramFiles%\sandboxie\sbiesvc.exe
%ProgramFiles%\sandboxie\32\sbiedll.dll
%ProgramFiles%\sandboxie\32\sbiesvc.exe
%ProgramFiles%\sandboxie\sbiemsg.dll
%ProgramFiles%\sandboxie\sbiedrv.sys
%ProgramFiles%\sandboxie\sboxhostdll.dll
%ProgramFiles%\sandboxie\sandboxierpcss.exe
%ProgramFiles%\sandboxie\sandboxiedcomlaunch.exe
%ProgramFiles%\sandboxie\sandboxiebits.exe
%ProgramFiles%\sandboxie\sandboxiewuau.exe
%WINDIR%\temp\uddc2bb.tmp

Присваивает атрибут 'скрытый' для следующих файлов

%CommonProgramFiles(x86)%\~jadlrsb.tmp

Удаляет следующие файлы

%TEMP%\aut5a47.tmp
%TEMP%\nsi644c.tmp\inetc.dll
%TEMP%\nsi644c.tmp\installtype.ini
%TEMP%\nsi644c.tmp\kmdutil.exe
%TEMP%\nsi644c.tmp\sbiedll.dll
%TEMP%\nsi644c.tmp\sbiemsg.dll
%TEMP%\nsi644c.tmp\system.dll
%TEMP%\nsi644c.tmp\warning.ini
%WINDIR%\temp\udd9415.tmp
%TEMP%\sandboxieinstall-64-bit-1073593.exe
%WINDIR%\temp\udd9fed.tmp
%WINDIR%\temp\uddaa5e.tmp
%WINDIR%\temp\uddb23f.tmp
%CommonProgramFiles(x86)%\~jadlrsb.tmp
%WINDIR%\temp\uddba1f.tmp
%WINDIR%\temp\uddc2bb.tmp

Сетевая активность

TCP

'sa###oxie.com':443

UDP

DNS ASK sa###oxie.com

Другое

Ищет следующие окна

ClassName: 'SandboxieControlWndClass' WindowName: ''

Создает и запускает на исполнение

'%CommonProgramFiles(x86)%\~jadlrsb.tmp' /S
'%TEMP%\sandboxieinstall-64-bit-1073593.exe' /S
'%TEMP%\nsi644c.tmp\kmdutil.exe' /lang=1033 scandll_silent
'%TEMP%\nsi644c.tmp\kmdutil.exe' /lang=1033 stop SbieSvc
'%TEMP%\nsi644c.tmp\kmdutil.exe' /lang=1033 stop SbieDrv
'%TEMP%\nsi644c.tmp\kmdutil.exe' /lang=1033 install SbieDrv "%ProgramFiles%\Sandboxie\SbieDrv.sys" type=kernel start=demand "msgfile=%ProgramFiles%\Sandboxie\SbieMsg.dll" altitude=86900
'%TEMP%\nsi644c.tmp\kmdutil.exe' /lang=1033 install SbieSvc "\"%ProgramFiles%\Sandboxie\SbieSvc.exe"\" type=own start=auto "display=Sandboxie Service" group=UIGroup "msgfile=%ProgramFiles%\Sandboxie\SbieMsg.dll"
'%TEMP%\nsi644c.tmp\kmdutil.exe' /lang=1033 start SbieSvc
'%ProgramFiles%\sandboxie\sbiesvc.exe'