Trojan.Siggen10.59286

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\system\systemcheck

Вредоносные функции

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: 'OLLYDBG', WindowName: ''
ClassName: 'GBDYLLO', WindowName: ''
ClassName: 'pediy06', WindowName: ''
ClassName: 'FilemonClass', WindowName: ''
ClassName: '', WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
ClassName: '', WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'RegmonClass', WindowName: ''
ClassName: '', WindowName: 'Registry Monitor - Sysinternals: www.sysinternals.com'

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\r3update.exe
<Текущая директория>\error2.bat
%APPDATA%\namebuild.exe
%APPDATA%\start.exe
%TEMP%\aut5282.tmp
%TEMP%\asacpiex.dll
%APPDATA%\build.exe
%TEMP%\cr_debug_log.txt
%TEMP%\autb9ed.tmp
%TEMP%\cl_debug_log.txt
%TEMP%\32.exe
%TEMP%\64.exe
%TEMP%\systemcheck.xml
%APPDATA%\microsoft\windows\helper.exe

Присваивает атрибут 'скрытый' для следующих файлов

%APPDATA%\namebuild.exe
%APPDATA%\start.exe
%APPDATA%\build.exe

Удаляет следующие файлы

%TEMP%\aut5282.tmp
%APPDATA%\r3update.exe
%TEMP%\autb9ed.tmp
%TEMP%\systemcheck.xml
%TEMP%\32.exe
%TEMP%\64.exe
%TEMP%\cl_debug_log.txt
%TEMP%\cr_debug_log.txt
%TEMP%\asacpiex.dll

Подменяет следующие файлы

<Текущая директория>\error2.bat

Самоудаляется.

Сетевая активность

TCP

Запросы HTTP GET

http://www.google.com/
http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt

'gi##ub.com':443

'ra#.####ubusercontent.com':443

'2n#.co':443

'g.###.mega.co.nz':443

UDP

DNS ASK google.com
DNS ASK gi##ub.com
DNS ASK ra#.####ubusercontent.com
DNS ASK 2n#.co
DNS ASK g.###.mega.co.nz
DNS ASK microsoft.com

Другое

Ищет следующие окна

ClassName: '18467-41' WindowName: ''

Создает и запускает на исполнение

'%APPDATA%\r3update.exe'
'%APPDATA%\microsoft\windows\helper.exe' -SystemCheck
'%TEMP%\cl_debug_log.txt' e -p"JDQJndnqwdnqw2139dn21n3b312idDQDB" "%TEMP%\CR_Debug_Log.txt" -o"%TEMP%\"
'%APPDATA%\build.exe'
'%APPDATA%\start.exe'
'%APPDATA%\microsoft\windows\helper.exe' -SystemCheck84809
'%APPDATA%\namebuild.exe'
'%APPDATA%\start.exe' ' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /C choice /C Y /N /D Y /T 0 & Del "<Полный путь к файлу>' (со скрытым окном)
'%APPDATA%\namebuild.exe' ' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /C choice /C Y /N /D Y /T 0 & Del "%APPDATA%\r3Update.exe' (со скрытым окном)
'%APPDATA%\microsoft\windows\helper.exe' -SystemCheck' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c schtasks.exe /Create /XML "%TEMP%\SystemCheck.xml" /TN "System\SystemCheck"' (со скрытым окном)
'%TEMP%\cl_debug_log.txt' e -p"JDQJndnqwdnqw2139dn21n3b312idDQDB" "%TEMP%\CR_Debug_Log.txt" -o"%TEMP%\"' (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /delete /tn UsbDriver /f' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c For /L %i In (0,0,0) Do (del "%APPDATA%\start.exe"&&timeout /t 0&&if not exist "%APPDATA%\start.exe" exit)' (со скрытым окном)
'%APPDATA%\r3update.exe' ' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ""<Текущая директория>\error2.bat" "' (со скрытым окном)
'%APPDATA%\build.exe' ' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c ""<Текущая директория>\error2.bat" "
'%WINDIR%\syswow64\cmd.exe' /C choice /C Y /N /D Y /T 0 & Del "<Полный путь к файлу>
'%WINDIR%\syswow64\choice.exe' /C Y /N /D Y /T 0
'%WINDIR%\syswow64\cmd.exe' /C choice /C Y /N /D Y /T 0 & Del "%APPDATA%\r3Update.exe
'<SYSTEM32>\schtasks.exe' /delete /tn UsbDriver /f
'%WINDIR%\syswow64\cmd.exe' /c schtasks.exe /Create /XML "%TEMP%\SystemCheck.xml" /TN "System\SystemCheck"
'%WINDIR%\syswow64\schtasks.exe' /Create /XML "%TEMP%\SystemCheck.xml" /TN "System\SystemCheck"
'%WINDIR%\syswow64\cmd.exe' /c For /L %i In (0,0,0) Do (del "%APPDATA%\start.exe"&&timeout /t 0&&if not exist "%APPDATA%\start.exe" exit)
'%WINDIR%\syswow64\timeout.exe' /t 0
'<SYSTEM32>\taskeng.exe' {648C84C6-2983-4588-ABA6-3D98EA58D393} S-1-5-21-1960123792-2022915161-3775307078-1001:jtgsxmsv\user:Interactive:[1]