Trojan.Siggen10.41953

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\Software\Classes\parsec\shell\open\command] '' = '"%ProgramFiles%\Parsec\parsecd.exe" "%1"'
[<HKLM>\Software\Classes\parsecd\shell\open\command] '' = '"%ProgramFiles%\Parsec\parsecd.exe" "%1"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Parsec.App.0' = '%ProgramFiles%\Parsec\parsecd.exe app_silent=1'

Устанавливает следующие настройки сервисов

[<HKLM>\System\CurrentControlSet\Services\Parsec] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\Parsec] 'ImagePath' = '"%ProgramFiles%\Parsec\pservice.exe"'

Создает следующие сервисы

'Parsec' "%ProgramFiles%\Parsec\pservice.exe"
'Parsec' %ProgramFiles%\Parsec\pservice.exe

Вредоносные функции

Запускает на исполнение

'%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name=Parsec dir=in action=allow program="%ProgramFiles%\Parsec\parsecd.exe" enable=yes profile=public,private

Изменения в файловой системе

Создает следующие файлы

%ProgramFiles%\parsec\wscripts\devcon-install.vbs
%ProgramFiles%\parsec\vigem\8.1\x86\wdfcoinstaller01009.dll
%ProgramFiles%\parsec\vigem\8.1\x86\devcon.exe
%TEMP%\nsm8141.tmp\system.dll
%ProgramFiles%\parsec\parsecd.exe
%ProgramFiles%\parsec\pservice.exe
%ProgramFiles%\parsec\skel\parsecd-150-47.dll
%ProgramFiles%\parsec\vigem\10\vigembus.cat
%ProgramFiles%\parsec\skel\appdata.json
%TEMP%\nsm8141.tmp\applicationid.dll
%ProgramFiles%\parsec\uninstall.exe
%APPDATA%\parsec\appdata.json
%APPDATA%\parsec\parsecd-150-47.dll
%WINDIR%\temp\cab5a01.tmp
%WINDIR%\temp\tar5a12.tmp
%ProgramFiles%\parsec\vigem\8.1\x64\devcon.exe
%ProgramFiles%\parsec\vigem\8.1\x86\vigembus.sys
%ProgramFiles%\parsec\vigem\8.1\x64\wdfcoinstaller01009.dll
%ProgramFiles%\parsec\vigem\8.1\x64\vigembus.sys
%ProgramFiles%\parsec\vigem\8.1\vigembus.cat
%ProgramFiles%\parsec\wscripts\firewall-add.vbs
%ProgramFiles%\parsec\wscripts\firewall-remove.vbs
%ProgramFiles%\parsec\wscripts\legacy-cleanup.vbs
%ProgramFiles%\parsec\wscripts\service-install.vbs
%ProgramFiles%\parsec\wscripts\service-kill-parsec.vbs
%ProgramFiles%\parsec\wscripts\service-remove.vbs
%APPDATA%\microsoft\windows\start menu\programs\parsec\parsec.lnk
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\parsec\parsec.lnk
%ProgramFiles%\parsec\vigem\10\vigembus.inf
%ProgramFiles%\parsec\vigem\10\x64\wdfcoinstaller01009.dll
%ProgramFiles%\parsec\vigem\10\x64\devcon.exe
%ProgramFiles%\parsec\vigem\10\x86\vigembus.sys
%ProgramFiles%\parsec\vigem\10\x86\wdfcoinstaller01009.dll
%ProgramFiles%\parsec\vigem\10\x86\devcon.exe
%ProgramFiles%\parsec\vigem\8.1\vigembus.inf
%ProgramFiles%\parsec\wscripts\devcon-remove.vbs
%ProgramFiles%\parsec\vigem\10\x64\vigembus.sys
%APPDATA%\parsec\config.txt

Удаляет следующие файлы

%TEMP%\nsm8141.tmp\applicationid.dll
%TEMP%\nsm8141.tmp\system.dll
%WINDIR%\temp\cab5a01.tmp
%WINDIR%\temp\tar5a12.tmp

Сетевая активность

TCP

Запросы HTTP GET

http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt

'bu####.parsecgaming.com':443

UDP

DNS ASK microsoft.com
DNS ASK bu####.parsecgaming.com

Другое

Ищет следующие окна

ClassName: '#32770' WindowName: ''

Создает и запускает на исполнение

'%WINDIR%\syswow64\wscript.exe' "%ProgramFiles%\Parsec\wscripts\service-kill-parsec.vbs"
'%ProgramFiles%\parsec\parsecd.exe'
'%WINDIR%\syswow64\wscript.exe' "%ProgramFiles%\Parsec\wscripts\firewall-add.vbs" "%ProgramFiles%\Parsec\parsecd.exe"
'%ProgramFiles%\parsec\pservice.exe'
'%WINDIR%\syswow64\wscript.exe' "%ProgramFiles%\Parsec\wscripts\service-install.vbs" "%ProgramFiles%\Parsec\pservice.exe"
'%WINDIR%\syswow64\wscript.exe' "%ProgramFiles%\Parsec\wscripts\legacy-cleanup.vbs"
'%WINDIR%\syswow64\wscript.exe' "%ProgramFiles%\Parsec\wscripts\service-remove.vbs"
'%WINDIR%\syswow64\wscript.exe' "%ProgramFiles%\Parsec\wscripts\firewall-remove.vbs"
'%ProgramFiles%\parsec\parsecd.exe' SERVICE_LAUNCHED_V1
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name=Parsec dir=in action=allow program="%ProgramFiles%\Parsec\parsecd.exe" enable=yes profile=public,private' (со скрытым окном)
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall delete rule name=parsec.exe' (со скрытым окном)
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall delete rule name=parsecd.exe' (со скрытым окном)
'%ProgramFiles%\parsec\parsecd.exe' ' (со скрытым окном)
'%WINDIR%\syswow64\sc.exe' stop Parsec' (со скрытым окном)
'%WINDIR%\syswow64\sc.exe' delete Parsec' (со скрытым окном)
'%WINDIR%\syswow64\sc.exe' create Parsec binPath= "\"%ProgramFiles%\Parsec\pservice.exe\"" start= auto type= interact type= own' (со скрытым окном)
'%WINDIR%\syswow64\sc.exe' start Parsec' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /delete /tn ParsecTeams /f' (со скрытым окном)
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall delete rule name=Parsec' (со скрытым окном)
'%WINDIR%\syswow64\sc.exe' control Parsec 200' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\sc.exe' control Parsec 200
'%WINDIR%\syswow64\sc.exe' stop Parsec
'%WINDIR%\syswow64\sc.exe' delete Parsec
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall delete rule name=Parsec
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall delete rule name=parsec.exe
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall delete rule name=parsecd.exe
'%WINDIR%\syswow64\schtasks.exe' /delete /tn ParsecTeams /f
'%WINDIR%\syswow64\sc.exe' create Parsec binPath= "\"%ProgramFiles%\Parsec\pservice.exe\"" start= auto type= interact type= own
'%WINDIR%\syswow64\sc.exe' start Parsec
'%WINDIR%\explorer.exe' "%ProgramFiles%\Parsec\parsecd.exe"