Trojan.Siggen10.30702

Техническая информация

Вредоносные функции

Запускает на исполнение

'%WINDIR%\syswow64\taskkill.exe' /im dfrgui.exe /f

Изменения в файловой системе

Создает следующие файлы

%TEMP%\$inst\2.tmp
%ALLUSERSPROFILE%\{mzgnmq4t-om3j-him0-aiwg40dxn4ld}\mdm.exe
%TEMP%\7z
%TEMP%\nsgfbae.tmp\system.dll
%TEMP%\nsgfbad.tmp
%TEMP%\bi5gu
%TEMP%\nsbe9e3.tmp\system.dll
%TEMP%\nsbe9e2.tmp
%TEMP%\bluescreenview.exe
%TEMP%\dfrgui.exe
C:\temp\arkei1.exe
C:\temp\44.exe
%ProgramFiles(x86)%\zx comany\setup\uninstall.ini
%ProgramFiles(x86)%\zx comany\setup\uninstall.exe
%TEMP%\nsma5d.tmp
%ProgramFiles(x86)%\zx comany\setup\tylpan.jpg
%ProgramFiles(x86)%\zx comany\setup\lighthouse.jpg
%ProgramFiles(x86)%\zx comany\setup\koala.jpg
%ProgramFiles(x86)%\zx comany\setup\jellyfish.jpg
%ProgramFiles(x86)%\zx comany\setup\hydrangeas.jpg
%ProgramFiles(x86)%\zx comany\setup\engvins.jpg
%ProgramFiles(x86)%\zx comany\setup\desert.jpg
%TEMP%\$inst\0002.tmp
%ProgramFiles(x86)%\zx comany\setup\chrysanthemum.jpg
%ProgramFiles(x86)%\zx comany\setup\rar.exe
%TEMP%\$inst\0001.tmp
%ProgramFiles(x86)%\zx comany\setup\photo.exe
%ProgramFiles(x86)%\zx comany\setup\11.bat
%TEMP%\$inst\temp_0.tmp
%ProgramFiles(x86)%\zx comany\setup\penguins1.jpg
%TEMP%\nsma5e.tmp\system.dll

Присваивает атрибут 'скрытый' для следующих файлов

%TEMP%\dfrgui.exe
%TEMP%\bluescreenview.exe

Удаляет следующие файлы

%TEMP%\$inst\temp_0.tmp
%TEMP%\$inst\0001.tmp
%TEMP%\$inst\0002.tmp
%TEMP%\$inst\2.tmp

Сетевая активность

Подключается к

'so###rand.ru':80

UDP

DNS ASK so###rand.ru
DNS ASK ai###aftik.ru

Другое

Ищет следующие окна

ClassName: 'EDIT' WindowName: ''

Создает и запускает на исполнение

'%ALLUSERSPROFILE%\{mzgnmq4t-om3j-him0-aiwg40dxn4ld}\mdm.exe'
'%ProgramFiles(x86)%\zx comany\setup\rar.exe' -p123321 -dC:\TEMP
'C:\temp\44.exe'
'C:\temp\arkei1.exe'
'%TEMP%\dfrgui.exe'
'%TEMP%\bluescreenview.exe'
'%WINDIR%\syswow64\schtasks.exe' /Create /SC MINUTE /MO 30 /TN "HHAG3WYIIOZ9C6" /TR "%ALLUSERSPROFILE%\{VTECTEDC-AUTO-Y6UM-DH7EVNN1XZS2}\40C4OWL30C6D.vbs" /F' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo Y|CACLS "%ALLUSERSPROFILE%\{VTECTEDC-AUTO-Y6UM-DH7EVNN1XZS2}" /P "%USERNAME%:R"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo Y|CACLS "%ALLUSERSPROFILE%\{VTECTEDC-AUTO-Y6UM-DH7EVNN1XZS2}\XAXNEP712GQK.ps1" /P "%USERNAME%:R"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo Y|CACLS "%ALLUSERSPROFILE%\{VTECTEDC-AUTO-Y6UM-DH7EVNN1XZS2}\40C4OWL30C6D.vbs" /P "%USERNAME%:R"' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /Create /SC MINUTE /MO 15 /TN "Z4M3BS9VAR6KIYNBXP" /TR "%ALLUSERSPROFILE%\{MZGNMQ4T-OM3J-HIM0-AIWG40DXN4LD}\mdm.exe" /F' (со скрытым окном)
'%ALLUSERSPROFILE%\{mzgnmq4t-om3j-him0-aiwg40dxn4ld}\mdm.exe' ' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ""%ProgramFiles(x86)%\ZX Comany\Setup\11.bat" "' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo Y|CACLS "%ALLUSERSPROFILE%\{MZGNMQ4T-OM3J-HIM0-AIWG40DXN4LD}\mdm.exe" /P "%USERNAME%:R"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo Y|CACLS "%ALLUSERSPROFILE%\{MZGNMQ4T-OM3J-HIM0-AIWG40DXN4LD}" /P "%USERNAME%:R"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c echo Y|CACLS "%ALLUSERSPROFILE%\{VTECTEDC-AUTO-Y6UM-DH7EVNN1XZS2}\B5PSDWV7NWLF.cmd" /P "%USERNAME%:R"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c taskkill /im dfrgui.exe /f & erase Г V & exit' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c ""%ProgramFiles(x86)%\ZX Comany\Setup\11.bat" "
'%WINDIR%\syswow64\cacls.exe' "%ALLUSERSPROFILE%\{VTECTEDC-AUTO-Y6UM-DH7EVNN1XZS2}\40C4OWL30C6D.vbs" /P "user:R"
'%WINDIR%\syswow64\cacls.exe' "%ALLUSERSPROFILE%\{VTECTEDC-AUTO-Y6UM-DH7EVNN1XZS2}\XAXNEP712GQK.ps1" /P "user:R"
'%WINDIR%\syswow64\cmd.exe' /c taskkill /im dfrgui.exe /f & erase Г V & exit
'%WINDIR%\syswow64\schtasks.exe' /Create /SC MINUTE /MO 15 /TN "Z4M3BS9VAR6KIYNBXP" /TR "%ALLUSERSPROFILE%\{MZGNMQ4T-OM3J-HIM0-AIWG40DXN4LD}\mdm.exe" /F
'%WINDIR%\syswow64\schtasks.exe' /Create /SC MINUTE /MO 30 /TN "HHAG3WYIIOZ9C6" /TR "%ALLUSERSPROFILE%\{VTECTEDC-AUTO-Y6UM-DH7EVNN1XZS2}\40C4OWL30C6D.vbs" /F
'%WINDIR%\syswow64\cmd.exe' /c echo Y|CACLS "%ALLUSERSPROFILE%\{VTECTEDC-AUTO-Y6UM-DH7EVNN1XZS2}" /P "%USERNAME%:R"
'%WINDIR%\syswow64\cacls.exe' "%ALLUSERSPROFILE%\{VTECTEDC-AUTO-Y6UM-DH7EVNN1XZS2}\B5PSDWV7NWLF.cmd" /P "user:R"
'%WINDIR%\syswow64\cmd.exe' /c echo Y|CACLS "%ALLUSERSPROFILE%\{VTECTEDC-AUTO-Y6UM-DH7EVNN1XZS2}\B5PSDWV7NWLF.cmd" /P "%USERNAME%:R"
'%WINDIR%\syswow64\cmd.exe' /c echo Y|CACLS "%ALLUSERSPROFILE%\{VTECTEDC-AUTO-Y6UM-DH7EVNN1XZS2}\XAXNEP712GQK.ps1" /P "%USERNAME%:R"
'%WINDIR%\syswow64\cacls.exe' "%ALLUSERSPROFILE%\{MZGNMQ4T-OM3J-HIM0-AIWG40DXN4LD}" /P "user:R"
'%WINDIR%\syswow64\cacls.exe' "%ALLUSERSPROFILE%\{MZGNMQ4T-OM3J-HIM0-AIWG40DXN4LD}\mdm.exe" /P "user:R"
'%WINDIR%\syswow64\cmd.exe' /S /D /c" echo Y"
'%WINDIR%\syswow64\cmd.exe' /c echo Y|CACLS "%ALLUSERSPROFILE%\{MZGNMQ4T-OM3J-HIM0-AIWG40DXN4LD}\mdm.exe" /P "%USERNAME%:R"
'%WINDIR%\syswow64\cmd.exe' /c echo Y|CACLS "%ALLUSERSPROFILE%\{MZGNMQ4T-OM3J-HIM0-AIWG40DXN4LD}" /P "%USERNAME%:R"
'%WINDIR%\syswow64\cmd.exe' /c echo Y|CACLS "%ALLUSERSPROFILE%\{VTECTEDC-AUTO-Y6UM-DH7EVNN1XZS2}\40C4OWL30C6D.vbs" /P "%USERNAME%:R"
'%WINDIR%\syswow64\cacls.exe' "%ALLUSERSPROFILE%\{VTECTEDC-AUTO-Y6UM-DH7EVNN1XZS2}" /P "user:R"