Trojan.Siggen10.25046

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\SYSTEM\CurrentControlSet\Control\Session Manager] 'BootExecute' = 'autocheck autochk *'

Устанавливает следующие настройки сервисов

[<HKLM>\System\CurrentControlSet\Services\ampa] 'ImagePath' = '<SYSTEM32>\ampa.sys'

Создает следующие сервисы

'ampa' <SYSTEM32>\ampa.sys

Вредоносные функции

Запускает на исполнение

'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="Blocked with Batchfile %TEMP%\7ZipSfx.000\7z.exe" dir=out program="%TEMP%\7ZipSfx.000\7z.exe" action=block
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="Blocked with Batchfile %TEMP%\7ZipSfx.000\AMBooter.exe" dir=out program="%TEMP%\7ZipSfx.000\AMBooter.exe" action=block
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="Blocked with Batchfile %TEMP%\7ZipSfx.000\bcdboot.exe" dir=out program="%TEMP%\7ZipSfx.000\bcdboot.exe" action=block
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="Blocked with Batchfile %TEMP%\7ZipSfx.000\GaHlp.exe" dir=out program="%TEMP%\7ZipSfx.000\GaHlp.exe" action=block
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="Blocked with Batchfile %TEMP%\7ZipSfx.000\LoadDrv.exe" dir=out program="%TEMP%\7ZipSfx.000\LoadDrv.exe" action=block
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="Blocked with Batchfile %TEMP%\7ZipSfx.000\LoadDrv_x64.exe" dir=out program="%TEMP%\7ZipSfx.000\LoadDrv_x64.exe" action=block
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="Blocked with Batchfile %TEMP%\7ZipSfx.000\PartAssist.exe" dir=out program="%TEMP%\7ZipSfx.000\PartAssist.exe" action=block
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="Blocked with Batchfile %TEMP%\7ZipSfx.000\PartAssist_starter.exe" dir=out program="%TEMP%\7ZipSfx.000\PartAssist_starter.exe" action=block
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="Blocked with Batchfile %TEMP%\7ZipSfx.000\PeLoadDrv.exe" dir=out program="%TEMP%\7ZipSfx.000\PeLoadDrv.exe" action=block
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="Blocked with Batchfile %TEMP%\7ZipSfx.000\SetupGreen64.exe" dir=out program="%TEMP%\7ZipSfx.000\SetupGreen64.exe" action=block
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="Blocked with Batchfile %TEMP%\7ZipSfx.000\wimlib-imagex.exe" dir=out program="%TEMP%\7ZipSfx.000\wimlib-imagex.exe" action=block
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="Blocked with Batchfile %TEMP%\7ZipSfx.000\Winchk.exe" dir=out program="%TEMP%\7ZipSfx.000\Winchk.exe" action=block

Изменения в файловой системе

Создает следующие файлы

%TEMP%\7zipsfx.000\2gpt_bcd
%TEMP%\7zipsfx.000\peloaddrv.exe
%TEMP%\7zipsfx.000\scanpartition.dll
%TEMP%\7zipsfx.000\setupgreen64.exe
%TEMP%\7zipsfx.000\ssdsecurityerase.dll
%TEMP%\7zipsfx.000\uninstall.bat
%TEMP%\7zipsfx.000\upgradeshow.dll
%TEMP%\7zipsfx.000\version.dll
%TEMP%\7zipsfx.000\vhdmgr.dll
%TEMP%\7zipsfx.000\wimgapi.dll
%TEMP%\7zipsfx.000\wimlib-imagex.exe
%TEMP%\7zipsfx.000\partassist_starter.exe
%TEMP%\7zipsfx.000\pe.dll
%TEMP%\7zipsfx.000\wimmgr.dll
%TEMP%\7zipsfx.000\wnd.ini
%TEMP%\7zipsfx.000\z4_set.txt
%TEMP%\7zipsfx.000\z5_control.cmd
%TEMP%\7zipsfx.000\zz_delete.cmd
%TEMP%\8mmem4wv.bat
%TEMP%\7zipsfx.000\log\ampa0.log
%WINDIR%\syswow64\ampa.sys
%WINDIR%\ga_of.dat
%TEMP%\7zipsfx.000\log\reg.log
<SYSTEM32>\ampa.sys
%TEMP%\7zipsfx.000\winchk.exe
%TEMP%\7zipsfx.000\winpeshl.ini
%TEMP%\7zipsfx.000\partassist.exe
%TEMP%\7zipsfx.000\other.ini
%TEMP%\7zipsfx.000\native\wnet\amd64\fre\ampa.sys
%TEMP%\7zipsfx.000\7z.dll
%TEMP%\7zipsfx.000\7z.exe
%TEMP%\7zipsfx.000\ambooter.exe
%TEMP%\7zipsfx.000\bcdboot.exe
%TEMP%\7zipsfx.000\cfg.ini
%TEMP%\7zipsfx.000\exfat.dll
%TEMP%\7zipsfx.000\gahlp.exe
%TEMP%\7zipsfx.000\gptbcd.dll
%TEMP%\7zipsfx.000\install.bat
%TEMP%\7zipsfx.000\ko.txt
%TEMP%\7zipsfx.000\loaddrv.exe
%TEMP%\7zipsfx.000\2mbr_bcd
%TEMP%\7zipsfx.000\loaddrv_x64.exe
%TEMP%\7zipsfx.000\mfc80u.dll
%TEMP%\7zipsfx.000\mfcm80.dll
%TEMP%\7zipsfx.000\mfcm80u.dll
%TEMP%\7zipsfx.000\microsoft.vc80.crt.manifest
%TEMP%\7zipsfx.000\microsoft.vc80.mfc.manifest
%TEMP%\7zipsfx.000\msvcm80.dll
%TEMP%\7zipsfx.000\msvcp80.dll
%TEMP%\7zipsfx.000\msvcr80.dll
%TEMP%\7zipsfx.000\native\w2k\x86\fre\ampa.sys
%TEMP%\7zipsfx.000\native\wlh\amd64\fre\ampa.sys
%TEMP%\7zipsfx.000\native\wlh\x86\fre\ampa.sys
%TEMP%\7zipsfx.000\mfc80.dll
%WINDIR%\temp\udd9f2b.tmp
C:\amtag.bin

Присваивает атрибут 'скрытый' для следующих файлов

C:\amtag.bin

Удаляет следующие файлы

%WINDIR%\syswow64\ampa.sys
%WINDIR%\temp\udd9f2b.tmp

Подменяет следующие файлы

%WINDIR%\syswow64\ampa.sys

Другое

Создает и запускает на исполнение

'%TEMP%\7zipsfx.000\partassist_starter.exe'
'%TEMP%\7zipsfx.000\partassist.exe'
'%TEMP%\7zipsfx.000\setupgreen64.exe' -u
'%TEMP%\7zipsfx.000\loaddrv_x64.exe' -u
'%TEMP%\7zipsfx.000\setupgreen64.exe'
'%TEMP%\7zipsfx.000\loaddrv_x64.exe'
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\8MMEM4WV.bat" "%TEMP%\7ZipSfx.000\PartAssist_starter.exe" "' (со скрытым окном)
'%TEMP%\7zipsfx.000\setupgreen64.exe' -u' (со скрытым окном)
'%TEMP%\7zipsfx.000\loaddrv_x64.exe' -u' (со скрытым окном)
'%TEMP%\7zipsfx.000\setupgreen64.exe' ' (со скрытым окном)
'%TEMP%\7zipsfx.000\loaddrv_x64.exe' ' (со скрытым окном)