Trojan.Siggen11.37209

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'SMΔRT-Protection' = '%ProgramFiles(x86)%\Smadav\SMΔRTP.exe rts'

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\smadav

Вредоносные функции

Для затруднения выявления своего присутствия в системе

изменяет следующие системные настройки:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'DisallowRun' = '00000001'

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\smadav\update1240\smadav.loov
C:\users\public\desktop\smadδv.lnk
%APPDATA%\smadav\smadav.xml
%APPDATA%\smadav\update-smadav.exe
%APPDATA%\smadav\smadavupdaterdir\smadavupdatemain.exe
%APPDATA%\smadav\smadavupdaterdir\readme.txt
%APPDATA%\smadav\smadavupdaterdir\smadavhelper.exe
%APPDATA%\smadav\smadavupdaterdir\smadav.loov
%APPDATA%\smadav\smadavupdaterdir\smadengine.dll
%APPDATA%\smadav\smadavupdaterdir\smadavprotect64.exe
%ProgramFiles(x86)%\smadav\smadhook32c.dll
%APPDATA%\smadav\smadavupdaterdir\smadavprotect32.exe
%APPDATA%\smadav\smadavupdaterdir\smadextmenu64.dll
%APPDATA%\smadav\smadavupdaterdir\smadextmenu.dll
%APPDATA%\smadav\smadavupdaterdir\smadhook64c.dll
%APPDATA%\smadav\smadavupdaterdir\smadhook32c.dll
%ProgramFiles(x86)%\smadav\smadextmenu.dll
%ProgramFiles(x86)%\smadav\smadextmenu64.dll
%ProgramFiles(x86)%\smadav\smadavhelper.exe
%TEMP%\smadav.lnk
%APPDATA%\smadav\smadavupdaterdir\smadav-updater.exe
%ProgramFiles(x86)%\smadav\readme.txt
%APPDATA%\smadav\update1240\readme.txt
%APPDATA%\smadav\update1240\smadavprotect32.exe
%APPDATA%\smadav\update1240\smadavprotect64.exe
%APPDATA%\smadav\update1240\smadav-updater.exe
%APPDATA%\smadav\update1240\smadengine.dll
%APPDATA%\smadav\update1240\smadextc64.dll
%APPDATA%\smadav\update1240\smadextc.dll
%APPDATA%\smadav\update1240\smadhook32.dll
%APPDATA%\smadav\update1240\smadhook64.dll
%APPDATA%\smadav\update1240\smadav1240-update.exe
%ProgramFiles(x86)%\smadav\smadhook32.dll
%ProgramFiles(x86)%\smadav\smδrtp.exe
%ProgramFiles(x86)%\smadav\smadengine.dll
%ProgramFiles(x86)%\smadav\smadav.loov
%ProgramFiles(x86)%\smadav\smadextc.dll
%ProgramFiles(x86)%\smadav\smadextc64.dll
%ProgramFiles(x86)%\smadav\smadav-updater.exe
%ProgramFiles(x86)%\smadav\smadavprotect32.exe
%ProgramFiles(x86)%\smadav\smadavprotect64.exe
%ProgramFiles(x86)%\smadav\smadhook64.dll
%ProgramFiles(x86)%\smadav\smadhook64c.dll

Удаляет следующие файлы

%TEMP%\smadav.lnk
%APPDATA%\smadav\smadav.xml
%ProgramFiles(x86)%\smadav\smδrtp.exe
%ProgramFiles(x86)%\smadav\smadengine.dll
%ProgramFiles(x86)%\smadav\smadav.loov
%ProgramFiles(x86)%\smadav\smadextc.dll
%ProgramFiles(x86)%\smadav\smadextc64.dll
%ProgramFiles(x86)%\smadav\smadav-updater.exe
%ProgramFiles(x86)%\smadav\smadavprotect32.exe
%ProgramFiles(x86)%\smadav\smadavprotect64.exe
%ProgramFiles(x86)%\smadav\readme.txt
C:\users\public\desktop\smadδv.lnk

Подменяет следующие файлы

%ProgramFiles(x86)%\smadav\smδrtp.exe
%ProgramFiles(x86)%\smadav\smadengine.dll
%ProgramFiles(x86)%\smadav\smadav.loov
%ProgramFiles(x86)%\smadav\smadav-updater.exe
%ProgramFiles(x86)%\smadav\smadavprotect32.exe
%ProgramFiles(x86)%\smadav\smadavprotect64.exe
%ProgramFiles(x86)%\smadav\readme.txt
%TEMP%\smadav.lnk
C:\users\public\desktop\smadδv.lnk

Сетевая активность

TCP

Запросы HTTP GET

http://le##ar.com/smadstat.php?ma##################################################################################################################################
http://www.le##ar.com/update/secure-smadav.txt
http://www.le##ar.com/update/secure-smadav.txt/
http://www.le##ar.com/update/extrasecure-smadav.txt
http://www.le##ar.com/update/extrasecure-smadav.txt/
http://me###rikan.com/newterms.txt
http://me##awa.com/smadav1437.update
http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt
http://le##ar.com/smadstat.php?ma####################################################################################################################################

UDP

DNS ASK le##ar.com
DNS ASK pr##m.com
DNS ASK me###rikan.com
DNS ASK me##awa.com
DNS ASK microsoft.com

Другое

Ищет следующие окна

ClassName: 'EDIT' WindowName: ''
ClassName: '' WindowName: 'SmaRTP'
ClassName: '' WindowName: 'SmadHook32'
ClassName: '' WindowName: 'SmadHook64'
ClassName: 'ThunderRT6TextBox' WindowName: ''
ClassName: '' WindowName: 'Windows Script Host'

Создает и запускает на исполнение

'%APPDATA%\smadav\update1240\smadav1240-update.exe' slt
'%ProgramFiles(x86)%\smadav\smδrtp.exe' rtc
'%ProgramFiles(x86)%\smadav\smadavprotect64.exe'
'%ProgramFiles(x86)%\smadav\smδrtp.exe'
'%ProgramFiles(x86)%\smadav\smadav-updater.exe'
'%APPDATA%\smadav\update-smadav.exe' /NOCLOSEAPPLICATIONS /VERYSILENT /SMADAVUPDATE
'%APPDATA%\smadav\smadavupdaterdir\smadavupdatemain.exe' slt
'%WINDIR%\syswow64\regsvr32.exe' /s "%ProgramFiles(x86)%\Smadav\SmadExtc64.dll"' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /create /tn "smadav" /xml "%APPDATA%\Smadav\smadav.xml"' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\regsvr32.exe' /s "%ProgramFiles(x86)%\Smadav\SmadExtc64.dll"
'%WINDIR%\syswow64\schtasks.exe' /create /tn "smadav" /xml "%APPDATA%\Smadav\smadav.xml"
'<SYSTEM32>\regsvr32.exe' /s "%ProgramFiles(x86)%\Smadav\SmadExtc64.dll"