Trojan.Siggen10.12329

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\SOFTWARE\Classes\ES\shell\open\command] '' = '"%ProgramFiles%\Everything\Everything.exe" -url "%1"'
[<HKLM>\SOFTWARE\Classes\Everything.FileList\shell\open\command] '' = '"%ProgramFiles%\Everything\Everything.exe" "%1"'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Everything' = '"%ProgramFiles%\Everything\Everything.exe" -startup'

Устанавливает следующие настройки сервисов

[<HKLM>\System\CurrentControlSet\Services\Everything] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\Everything] 'ImagePath' = '"%ProgramFiles%\Everything\Everything.exe" -svc'

Создает следующие сервисы

Вредоносные функции

Запускает на исполнение

Изменения в файловой системе

Создает следующие файлы

%TEMP%\7zipsfx.000\everything\changes.txt
%ProgramFiles%\everything\everything.ini
%ProgramFiles%\everything\everything.exe
%ProgramFiles%\everything\changes.txt
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\everything\lancer everything.lnk
%WINDIR%\inf\set974b.tmp
%APPDATA%\everything\everything.ini
%ProgramFiles%\everything\everything.lng
%APPDATA%\everything\bookmarks.csv
%TEMP%\7zipsfx.000\everything\everything.exe
%TEMP%\7zipsfx.000\everything\everything.lng
%TEMP%\7zipsfx.000\everything.inf
%TEMP%\7zipsfx.000\everythinga\bookmarks.csv
%TEMP%\7zipsfx.000\everythinga\everything.ini
%TEMP%\7zipsfx.000\everything\everything.ini
%TEMP%\7zipsfx.000\everything\everythingx64.exe
%ProgramFiles%\everything\everythingx64.exe

Удаляет следующие файлы

Перемещает следующие файлы

Подменяет следующие файлы

Другое

Ищет следующие окна

Создает и запускает на исполнение

'%ProgramFiles%\everything\everything.exe' -install-service
'%ProgramFiles%\everything\everything.exe' -svc
'%ProgramFiles%\everything\everything.exe' -startup
'<SYSTEM32>\cmd.exe' /c if exist <SYSTEM32>\taskkill.exe TASKKILL /F /IM everything.exe /T' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c cd /d %TEMP%\7ZipSfx.000 & xcopy /CEIQY EverythingA "%APPDATA%\Everything"' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c pushd %ProgramFiles%\Everything & Everything.exe -stop-service & Everything -uninstall-service' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c cd /d %TEMP%\7ZipSfx.000 & xcopy /CEIQY Everything "%ProgramFiles%\Everything"' (со скрытым окном)
'<SYSTEM32>\rundll32.exe' advpack.dll,DelNodeRunDLL32 %ProgramFiles%\Everything\Everything.exe,8' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c pushd %ProgramFiles%\Everything & ren Everythingx64.exe Everything.exe' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c pushd %ProgramFiles%\Everything & Everything.exe -install-service' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c start "RunIntray" "%ProgramFiles%\Everything\Everything.exe" -startup' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\rundll32.exe' advpack.dll,LaunchINFSection %TEMP%\7ZipSfx.000\Everything.inf,Install.ntamd64
'<SYSTEM32>\cmd.exe' /c if exist <SYSTEM32>\taskkill.exe TASKKILL /F /IM everything.exe /T
'<SYSTEM32>\cmd.exe' /c cd /d %TEMP%\7ZipSfx.000 & xcopy /CEIQY EverythingA "%APPDATA%\Everything"
'<SYSTEM32>\xcopy.exe' /CEIQY EverythingA "%APPDATA%\Everything"
'<SYSTEM32>\cmd.exe' /c pushd %ProgramFiles%\Everything & Everything.exe -stop-service & Everything -uninstall-service
'<SYSTEM32>\cmd.exe' /c cd /d %TEMP%\7ZipSfx.000 & xcopy /CEIQY Everything "%ProgramFiles%\Everything"
'<SYSTEM32>\xcopy.exe' /CEIQY Everything "%ProgramFiles%\Everything"
'<SYSTEM32>\rundll32.exe' advpack.dll,DelNodeRunDLL32 %ProgramFiles%\Everything\Everything.exe,8
'<SYSTEM32>\cmd.exe' /c pushd %ProgramFiles%\Everything & ren Everythingx64.exe Everything.exe
'<SYSTEM32>\cmd.exe' /c pushd %ProgramFiles%\Everything & Everything.exe -install-service
'<SYSTEM32>\cmd.exe' /c start "RunIntray" "%ProgramFiles%\Everything\Everything.exe" -startup