Trojan.Siggen10.47848

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\software\microsoft\windows\currentversion\run] 'wIMAUcoU.exe' = '%HOMEPATH%\fGsAggQE\wIMAUcoU.exe'
[<HKLM>\software\Wow6432Node\microsoft\windows\currentversion\run] 'YKAIocwM.exe' = '%ALLUSERSPROFILE%\bgsUswsQ\YKAIocwM.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = '<SYSTEM32>\userinit.exe,%ALLUSERSPROFILE%\bgsUswsQ\YKAIocwM.exe,'
[<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = 'userinit.exe,%ALLUSERSPROFILE%\bgsUswsQ\YKAIocwM.exe,'

Устанавливает следующие настройки сервисов

[<HKLM>\System\CurrentControlSet\Services\acswEYtU] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\acswEYtU] 'ImagePath' = '%ALLUSERSPROFILE%\RMskQoQk\ZoocUkYE.exe'

Создает следующие сервисы

'acswEYtU' %ALLUSERSPROFILE%\RMskQoQk\ZoocUkYE.exe

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует отображение:

скрытых файлов
расширений файлов

блокирует:

Средство контроля пользовательских учетных записей (UAC)

Изменения в файловой системе

Создает следующие файлы

%HOMEPATH%\fgsaggqe\wimaucou
<Текущая директория>\cimu.exe
<Текущая директория>\euge.exe
<Текущая директория>\zegu.exe
<Текущая директория>\vsqg.exe
<Текущая директория>\lqyi.exe
<Текущая директория>\smqc.exe
<Текущая директория>\kiue.exe
<Текущая директория>\iaqg.exe
<Текущая директория>\lkwg.exe
<Текущая директория>\ogei.exe
<Текущая директория>\zuwc.exe
<Текущая директория>\smsm.exe
<Текущая директория>\hsmu.exe
<Текущая директория>\bmoy.exe
<Текущая директория>\feqw.exe
<Текущая директория>\lssw.exe
<Текущая директория>\mwam.exe
<Текущая директория>\cesa.exe
<Текущая директория>\mkyy.exe
<Текущая директория>\ocyo.exe
<Текущая директория>\oaok.exe
<Текущая директория>\kaau.exe
<Текущая директория>\dwou.exe
<Текущая директория>\qwco.exe
<Текущая директория>\layw.exe
<Текущая директория>\zwau.exe
<Текущая директория>\jkoc.exe
<Текущая директория>\rqyy.exe
<Текущая директория>\cqky.exe
<Текущая директория>\ccsi.exe
%ALLUSERSPROFILE%\bgsuswsq\ykaiocwm
%HOMEPATH%\fgsaggqe\wimaucou.exe
%ALLUSERSPROFILE%\bgsuswsq\ykaiocwm.exe
%ALLUSERSPROFILE%\rmskqoqk\zoocukye.exe
%WINDIR%\syswow64\config\systemprofile\fgsaggqe\wimaucou
%TEMP%\fuuueqqk.bat
%TEMP%\adobearmhelper.exe
%TEMP%\armui.ini
%ALLUSERSPROFILE%\pauo.txt
<Текущая директория>\huyy.ico
<Текущая директория>\iscm.ico
<Текущая директория>\zqie.exe
<Текущая директория>\vuia.exe
<Текущая директория>\yocq.exe
<Текущая директория>\osys.exe
<Текущая директория>\aymo.exe
<Текущая директория>\ooac.exe
<Текущая директория>\gski.exe
<Текущая директория>\pqai.exe
<Текущая директория>\tuks.exe
<Текущая директория>\vyya.exe
<Текущая директория>\tuwk.exe
<Текущая директория>\akew.exe
<Текущая директория>\lwwc.exe
<Текущая директория>\eway.exe
<Текущая директория>\rkkm.exe
<Текущая директория>\gmyw.exe
<Текущая директория>\oouk.exe

Удаляет следующие файлы

%TEMP%\fuuueqqk.bat
<Текущая директория>\smqc.exe
<Текущая директория>\kiue.exe
<Текущая директория>\iaqg.exe
<Текущая директория>\lkwg.exe
<Текущая директория>\ogei.exe
<Текущая директория>\zuwc.exe
<Текущая директория>\smsm.exe
<Текущая директория>\rqyy.exe
<Текущая директория>\hsmu.exe
<Текущая директория>\feqw.exe
<Текущая директория>\lssw.exe
<Текущая директория>\mwam.exe
<Текущая директория>\cesa.exe
<Текущая директория>\mkyy.exe
<Текущая директория>\ocyo.exe
<Текущая директория>\oaok.exe
<Текущая директория>\kaau.exe
<Текущая директория>\dwou.exe
<Текущая директория>\qwco.exe
<Текущая директория>\layw.exe
<Текущая директория>\zwau.exe
<Текущая директория>\lqyi.exe
<Текущая директория>\bmoy.exe
<Текущая директория>\vsqg.exe
<Текущая директория>\euge.exe
%TEMP%\armui.ini
<Текущая директория>\zqie.exe
<Текущая директория>\ccsi.exe
<Текущая директория>\vuia.exe
<Текущая директория>\osys.exe
<Текущая директория>\aymo.exe
<Текущая директория>\ooac.exe
<Текущая директория>\gski.exe
<Текущая директория>\pqai.exe
<Текущая директория>\tuks.exe
<Текущая директория>\vyya.exe
<Текущая директория>\tuwk.exe
<Текущая директория>\akew.exe
<Текущая директория>\lwwc.exe
<Текущая директория>\eway.exe
<Текущая директория>\rkkm.exe
<Текущая директория>\yocq.exe
<Текущая директория>\gmyw.exe
<Текущая директория>\cqky.exe
<Текущая директория>\jkoc.exe
<Текущая директория>\cimu.exe
<Текущая директория>\zegu.exe
<Текущая директория>\oouk.exe

Сетевая активность

TCP

Запросы HTTP GET

http://google.com/

'bl##k.io':443

UDP

DNS ASK bl##k.io
DNS ASK google.com

Другое

Ищет следующие окна

ClassName: '' WindowName: 'YKAIocwM.exe'
ClassName: '' WindowName: 'Microsoft Windows'
ClassName: '' WindowName: 'wIMAUcoU.exe'
ClassName: 'AcrobatSDIWindow' WindowName: ''
ClassName: 'AdobeAcrobat' WindowName: ''

Создает и запускает на исполнение

'%HOMEPATH%\fgsaggqe\wimaucou.exe'
'%ALLUSERSPROFILE%\bgsuswsq\ykaiocwm.exe'
'%ALLUSERSPROFILE%\rmskqoqk\zoocukye.exe'
'%TEMP%\adobearmhelper.exe'
'%WINDIR%\syswow64\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v HideFileExt /t REG_DWORD /d 1' (со скрытым окном)
'%WINDIR%\syswow64\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v Hidden /t REG_DWORD /d 2' (со скрытым окном)
'%WINDIR%\syswow64\reg.exe' add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /d 0 /t REG_DWORD /f' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c %TEMP%\AdobeARMHelper.exe
'%WINDIR%\syswow64\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v HideFileExt /t REG_DWORD /d 1
'%WINDIR%\syswow64\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v Hidden /t REG_DWORD /d 2
'%WINDIR%\syswow64\reg.exe' add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /d 0 /t REG_DWORD /f
'%CommonProgramFiles(x86)%\adobe\arm\1.0\adobearm.exe'
'%ProgramFiles(x86)%\adobe\acrobat reader dc\reader\reader_sl.exe'

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней