Trojan.Siggen9.62078

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[<HKLM>\System\CurrentControlSet\Services\FsdcService] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\FsdcService] 'ImagePath' = '%ProgramFiles(x86)%\Friendess\Share\fsdc\FsdcSvc.exe'

Создает следующие сервисы

'FsdcService' %ProgramFiles(x86)%\Friendess\Share\fsdc\FsdcSvc.exe

Вредоносные функции

Запускает на исполнение

'%WINDIR%\syswow64\taskkill.exe' /f /im FsdcSvc.exe
'%WINDIR%\syswow64\taskkill.exe' /f /im fsdc.exe
'%WINDIR%\syswow64\taskkill.exe' /f /im ShareMemTool.exe
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall set rule name = all protocol = TCP localport = 9527 new action = allow
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule dir = in action = allow name = "TCP 9527" protocol = TCP localport = 9527
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall set rule name = all protocol = UDP localport = 7088 new action = allow
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule dir = in action = allow name = "UDP 7088" protocol = UDP localport = 7088
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall set rule name = all protocol = UDP localport = 7089 new action = allow
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule dir = in action = allow name = "UDP 7089" protocol = UDP localport = 7089

Изменения в файловой системе

Создает следующие файлы

%TEMP%\nsz916a.tmp
%TEMP%\nsk91aa.tmp\system.dll
%TEMP%\nsk91aa.tmp\nsexec.dll
%ProgramFiles(x86)%\friendess\share\fsdc\runfsdc.exe
%ProgramFiles(x86)%\friendess\share\fsdc\fsdcsvc.exe
%ProgramFiles(x86)%\friendess\share\fsdc\v2.1.0.1\fsdc.exe
%ProgramFiles(x86)%\friendess\share\fsdc\v2.1.0.1\paho-mqtt3a.dll
%ProgramFiles(x86)%\friendess\share\fsdc\v2.1.0.1\autoupdate.exe
%ProgramFiles(x86)%\friendess\share\fsdc\v2.1.0.1\sharememtool.exe
%ProgramFiles(x86)%\friendess\share\fsdc\v2.1.0.1\uninstall.exe
%ProgramFiles(x86)%\friendess\share\fsdc\log\datacenter.log-journal
%ProgramFiles(x86)%\friendess\share\fsdc\log\datacenter.log
%ProgramFiles(x86)%\friendess\share\fsdc\log\datacenter.log.bak

Удаляет следующие файлы

%TEMP%\nsz916a.tmp
%TEMP%\nsk91aa.tmp\nsexec.dll
%TEMP%\nsk91aa.tmp\system.dll
%ProgramFiles(x86)%\friendess\share\fsdc\log\datacenter.log-journal

Подменяет следующие файлы

%ProgramFiles(x86)%\friendess\share\fsdc\log\datacenter.log-journal

Сетевая активность

Подключается к

'localhost':9527

Другое

Ищет следующие окна

ClassName: '' WindowName: ''

Создает и запускает на исполнение

'%ProgramFiles(x86)%\friendess\share\fsdc\v2.1.0.1\fsdc.exe'
'%ProgramFiles(x86)%\friendess\share\fsdc\runfsdc.exe' -StartSvc
'%ProgramFiles(x86)%\friendess\share\fsdc\fsdcsvc.exe'
'%ProgramFiles(x86)%\friendess\share\fsdc\fsdcsvc.exe' -install -silent
'%ProgramFiles(x86)%\friendess\share\fsdc\fsdcsvc.exe' -install -silent' (со скрытым окном)
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule dir = in action = allow name = "UDP 7089" protocol = UDP localport = 7089' (со скрытым окном)
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall set rule name = all protocol = UDP localport = 7089 new action = allow' (со скрытым окном)
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall delete rule name = "UDP 7089"' (со скрытым окном)
'%ProgramFiles(x86)%\friendess\share\fsdc\runfsdc.exe' -StartSvc' (со скрытым окном)
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule dir = in action = allow name = "UDP 7088" protocol = UDP localport = 7088' (со скрытым окном)
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule dir = in action = allow name = "TCP 9527" protocol = TCP localport = 9527' (со скрытым окном)
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall set rule name = all protocol = UDP localport = 7088 new action = allow' (со скрытым окном)
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall set rule name = all protocol = TCP localport = 9527 new action = allow' (со скрытым окном)
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall delete rule name = "TCP 9527"' (со скрытым окном)
'%WINDIR%\syswow64\taskkill.exe' /f /im ShareMemTool.exe' (со скрытым окном)
'%WINDIR%\syswow64\taskkill.exe' /f /im fsdc.exe' (со скрытым окном)
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall delete rule name = "UDP 7088"' (со скрытым окном)
'%WINDIR%\syswow64\taskkill.exe' /f /im FsdcSvc.exe' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\netsh.exe' advfirewall firewall delete rule name = "TCP 9527"
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall delete rule name = "UDP 7088"
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall delete rule name = "UDP 7089"