Trojan.Siggen9.59254

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

Устанавливает следующие настройки сервисов

[<HKLM>\SYSTEM\CurrentControlSet\Services\TermService\Parameters] 'ServiceDll' = '<SYSTEM32>\termhlpr.dll'
[<HKLM>\System\CurrentControlSet\Services\TermService] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\clr_optimization_v2.0.50727_32] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\clr_optimization_v2.0.50727_64] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\IKEEXT] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\iScsiPrt] 'ImagePath' = 'system32\DRIVERS\msiscsi.sys'

Создает следующие сервисы

Вредоносные функции

Запускает на исполнение

'%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="Remote Desktop Port" dir=in action=allow protocol=TCP localport=3389

Завершает или пытается завершить

следующие системные процессы:

Изменения в файловой системе

Создает следующие файлы

%PROGRAMDATA%\0f9e6db3cb8c476522507\update.exe
<SYSTEM32>\termhlpr.dll
%WINDIR%\registration\{02d4b3f1-fd88-11d1-960d-00805fc79235}.{c5d6070b-61ce-4431-9537-d383220dfae2}.crmlog
<SYSTEM32>\microsoft\protect\s-1-5-20\67769153-20e5-4536-93a4-2b0a17535d79
<SYSTEM32>\microsoft\protect\s-1-5-20\preferred
%PROGRAMDATA%\microsoft\crypto\rsa\machinekeys\1673be9cb590e2bbff12887e153b36dd_36d1130a-ac2e-44f7-9dc1-e424fbcbe0ee
%PROGRAMDATA%\microsoft\ehome\recoverytasks\recoverytasks.smem
%WINDIR%\debug\netlogon.log
%PROGRAMDATA%\microsoft\crypto\rsa\machinekeys\35562e9773f7972a417f58c5b4ecea6c_36d1130a-ac2e-44f7-9dc1-e424fbcbe0ee
%WINDIR%\serviceprofiles\localservice\appdata\roaming\microsoft\systemcertificates\my\certificates\7433536ef99b07baa14ed22accbeda094e229800
%PROGRAMDATA%\microsoft\crypto\rsa\machinekeys\f686aace6942fb7f7ceb231212eef4a4_36d1130a-ac2e-44f7-9dc1-e424fbcbe0ee
%PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
%PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
%PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch

Удаляет следующие файлы

%WINDIR%\registration\{02d4b3f1-fd88-11d1-960d-00805fc79235}.{70c8e9a1-71ac-4642-8c00-42bb5ae4e409}.crmlog
%PROGRAMDATA%\microsoft\ehome\recoverytasks\recoverytasks.smem

Подменяет следующие файлы

Сетевая активность

TCP

Запросы HTTP GET

Запросы HTTP POST

UDP

Другое

Ищет следующие окна

Создает и запускает на исполнение

'%PROGRAMDATA%\0f9e6db3cb8c476522507\update.exe'
'%WINDIR%\syswow64\cmd.exe' /c schtasks /create /F /tn WinUpdate /tr "%PROGRAMDATA%\0F9E6DB3CB8C476522507\update.exe" /sc MINUTE /ru SYSTEM' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c netsh advfirewall firewall add rule name="Remote Desktop Port" dir=in action=allow protocol=TCP localport=3389' (со скрытым окном)
'%PROGRAMDATA%\0f9e6db3cb8c476522507\update.exe' ' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c schtasks /create /F /tn WinUpdate /tr "%PROGRAMDATA%\0F9E6DB3CB8C476522507\update.exe" /sc MINUTE /ru SYSTEM
'<SYSTEM32>\wbengine.exe'
'<SYSTEM32>\vssvc.exe'
'<SYSTEM32>\vds.exe'
'<SYSTEM32>\ui0detect.exe'
'<SYSTEM32>\svchost.exe' -k swprv
'<SYSTEM32>\snmptrap.exe'
'<SYSTEM32>\locator.exe'
'<SYSTEM32>\svchost.exe' -k regsvc
'%WINDIR%\syswow64\perfhost.exe'
'<SYSTEM32>\svchost.exe' -k PeerDist
'%CommonProgramFiles%\microsoft shared\source engine\ose.exe'
'%WINDIR%\ehome\ehprivjob.exe' /DoRecoveryTasks
'%ProgramFiles%\microsoft office\office14\groove.exe' /auditservice
'<SYSTEM32>\svchost.exe' -k LocalServicePeerNet
'<SYSTEM32>\fxssvc.exe'
'%WINDIR%\ehome\ehtray.exe' /nav:-2
'%WINDIR%\ehome\ehsched.exe'
'%WINDIR%\ehome\ehprivjob.exe' /DoUpdateRecordPath /Event:Global\MediaCenter_UpdateRecordPath_780c8107a43
'%WINDIR%\ehome\ehprivjob.exe' /DRMInit
'%WINDIR%\ehome\ehrecvr.exe'
'<SYSTEM32>\svchost.exe' -k defragsvc
'<SYSTEM32>\dllhost.exe' /Processid:{02D4B3F1-FD88-11D1-960D-00805FC79235}
'<SYSTEM32>\svchost.exe' -k bthsvcs
'<SYSTEM32>\svchost.exe' -k AxInstSVGroup
'<SYSTEM32>\alg.exe'
'%WINDIR%\syswow64\schtasks.exe' /create /F /tn WinUpdate /tr "%PROGRAMDATA%\0F9E6DB3CB8C476522507\update.exe" /sc MINUTE /ru SYSTEM
'%WINDIR%\syswow64\cmd.exe' /c netsh advfirewall firewall add rule name="Remote Desktop Port" dir=in action=allow protocol=TCP localport=3389
'<SYSTEM32>\svchost.exe' -k WbioSvcGroup
'<SYSTEM32>\svchost.exe' -k wcssvc