Trojan.Siggen10.49388

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\software\microsoft\windows\currentversion\run] 'FSwwUUYo.exe' = '%HOMEPATH%\cWQQYQwA\FSwwUUYo.exe'
[<HKLM>\software\Wow6432Node\microsoft\windows\currentversion\run] 'zsMMkwMo.exe' = '%ALLUSERSPROFILE%\EEAkEEUk\zsMMkwMo.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = '<SYSTEM32>\userinit.exe,%ALLUSERSPROFILE%\EEAkEEUk\zsMMkwMo.exe,'
[<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = 'userinit.exe,%ALLUSERSPROFILE%\EEAkEEUk\zsMMkwMo.exe,'

Устанавливает следующие настройки сервисов

[<HKLM>\System\CurrentControlSet\Services\HYAUIIHF] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\HYAUIIHF] 'ImagePath' = '%ALLUSERSPROFILE%\AsMEckUg\nusUMEYI.exe'

Создает следующие сервисы

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует отображение:

блокирует:

Изменения в файловой системе

Создает следующие файлы

Удаляет следующие файлы

Сетевая активность

TCP

Запросы HTTP GET

'bl##k.io':443

UDP

Другое

Ищет следующие окна

Создает и запускает на исполнение

'%HOMEPATH%\cwqqyqwa\fswwuuyo.exe'
'%ALLUSERSPROFILE%\eeakeeuk\zsmmkwmo.exe'
'%ALLUSERSPROFILE%\asmeckug\nusumeyi.exe'
'%TEMP%\far.exe'
'%WINDIR%\syswow64\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v HideFileExt /t REG_DWORD /d 1' (со скрытым окном)
'%WINDIR%\syswow64\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v Hidden /t REG_DWORD /d 2' (со скрытым окном)
'%WINDIR%\syswow64\reg.exe' add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /d 0 /t REG_DWORD /f' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c %TEMP%\Far.exe
'%WINDIR%\syswow64\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v HideFileExt /t REG_DWORD /d 1
'%WINDIR%\syswow64\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v Hidden /t REG_DWORD /d 2
'%WINDIR%\syswow64\reg.exe' add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /d 0 /t REG_DWORD /f