Trojan.Siggen10.4404

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'Luiz' = '%WINDIR%\Luiz\Luiz.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'Luiz' = '%WINDIR%\Luiz\Luiz.exe'
[<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'Luiz' = '%WINDIR%\Luiz\Luiz.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Luiz' = '%WINDIR%\Luiz\Luiz.exe'
[<HKLM>\Software\Wow6432Node\Microsoft\Active Setup\Installed Components\{7TK55AXS-S485-7M5A-4QYM-81N8K2F563RS}] 'StubPath' = '%WINDIR%\Luiz\Luiz.exe Restart'

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\update\hwgugq

Вредоносные функции

Внедряет код в

следующие пользовательские процессы:

lomkjwq.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\lomkjwq.exe
%TEMP%\ahhhhh.xml
%TEMP%\a66666.xml
%TEMP%\aooooo.xml
%TEMP%\a33333.xml
%TEMP%\ammmmm.xml
%TEMP%\a44444.xml
%TEMP%\ayyyyy.xml
%TEMP%\aggggg.xml
%TEMP%\appppp.xml
%TEMP%\xxx.xxx
%APPDATA%\logs.dat
%TEMP%\xx--xx--xx.txt
%WINDIR%\luiz\luiz.exe
%TEMP%\akkkkk.xml
%TEMP%\core.exe
%TEMP%\a_____.xml
%TEMP%\uuu.uuu
%TEMP%\abbbbb.xml

Присваивает атрибут 'скрытый' для следующих файлов

%WINDIR%\luiz\luiz.exe
%APPDATA%\logs.dat

Удаляет следующие файлы

%TEMP%\a_____.xml
%TEMP%\xx--xx--xx.txt
%TEMP%\uuu.uuu
%TEMP%\akkkkk.xml
%TEMP%\appppp.xml
%TEMP%\xxx.xxx
%TEMP%\ayyyyy.xml
%TEMP%\a44444.xml
%TEMP%\ammmmm.xml
%TEMP%\a33333.xml
%TEMP%\aooooo.xml
%TEMP%\a66666.xml
%TEMP%\ahhhhh.xml
%TEMP%\aggggg.xml
%TEMP%\abbbbb.xml

Подменяет следующие файлы

%TEMP%\uuu.uuu
%TEMP%\xxx.xxx
%TEMP%\ammmmm.xml
%TEMP%\ahhhhh.xml

Сетевая активность

Подключается к

'nl##.#uckdns.org':4000

UDP

DNS ASK nl##.#uckdns.org

Другое

Создает и запускает на исполнение

'%TEMP%\core.exe' -woohoo 2352 %TEMP%\LoMkjwQ.exe
'%TEMP%\core.exe' -woohoo 3024 %TEMP%\LoMkjwQ.exe
'%TEMP%\core.exe' -woohoo 2192 %TEMP%\LoMkjwQ.exe
'%TEMP%\core.exe' -woohoo 2776 %TEMP%\LoMkjwQ.exe
'%TEMP%\core.exe' -woohoo 1992 %TEMP%\LoMkjwQ.exe
'%TEMP%\core.exe' -woohoo 2704 %TEMP%\LoMkjwQ.exe
'%TEMP%\core.exe' -woohoo 2088 %TEMP%\LoMkjwQ.exe
'%TEMP%\core.exe' -woohoo 1256 %TEMP%\LoMkjwQ.exe
'%TEMP%\core.exe' -woohoo 952 %TEMP%\LoMkjwQ.exe
'%TEMP%\core.exe' -woohoo 3044 %TEMP%\LoMkjwQ.exe
'%TEMP%\core.exe' -woohoo 2656 %TEMP%\LoMkjwQ.exe
'%TEMP%\core.exe' -woohoo 2928 %TEMP%\LoMkjwQ.exe
'%TEMP%\core.exe' -woohoo 1864 %TEMP%\LoMkjwQ.exe
'%TEMP%\core.exe' -woohoo 2592 %TEMP%\LoMkjwQ.exe
'%TEMP%\lomkjwq.exe'
'%TEMP%\core.exe' -woohoo 1748 %TEMP%\LoMkjwQ.exe
'%WINDIR%\luiz\luiz.exe'
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Update\HwgugQ" /XML "%TEMP%\aGGGGG.xml"' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Update\HwgugQ" /XML "%TEMP%\asssss.xml"' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Update\HwgugQ" /XML "%TEMP%\a77777.xml"' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Update\HwgugQ" /XML "%TEMP%\abbbbb.xml"' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Update\HwgugQ" /XML "%TEMP%\appppp.xml"' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Update\HwgugQ" /XML "%TEMP%\akkkkk.xml"' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Update\HwgugQ" /XML "%TEMP%\aYYYYY.xml"' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Update\HwgugQ" /XML "%TEMP%\a66666.xml"' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Update\HwgugQ" /XML "%TEMP%\aooooo.xml"' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Update\HwgugQ" /XML "%TEMP%\a33333.xml"' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Update\HwgugQ" /XML "%TEMP%\a44444.xml"' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Update\HwgugQ" /XML "%TEMP%\ammmmm.xml"' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Update\HwgugQ" /XML "%TEMP%\aHHHHH.xml"' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Update\HwgugQ" /XML "%TEMP%\a_____.xml"' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Update\HwgugQ" /XML "%TEMP%\a_____.xml"
'%ProgramFiles(x86)%\internet explorer\iexplore.exe'
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Update\HwgugQ" /XML "%TEMP%\akkkkk.xml"
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Update\HwgugQ" /XML "%TEMP%\appppp.xml"
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Update\HwgugQ" /XML "%TEMP%\aYYYYY.xml"
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Update\HwgugQ" /XML "%TEMP%\a44444.xml"
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Update\HwgugQ" /XML "%TEMP%\ammmmm.xml"
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Update\HwgugQ" /XML "%TEMP%\a33333.xml"
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Update\HwgugQ" /XML "%TEMP%\aooooo.xml"
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Update\HwgugQ" /XML "%TEMP%\a66666.xml"
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Update\HwgugQ" /XML "%TEMP%\aHHHHH.xml"
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Update\HwgugQ" /XML "%TEMP%\aGGGGG.xml"
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Update\HwgugQ" /XML "%TEMP%\abbbbb.xml"
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Update\HwgugQ" /XML "%TEMP%\a77777.xml"
'%WINDIR%\syswow64\schtasks.exe' /Create /TN "Update\HwgugQ" /XML "%TEMP%\asssss.xml"