Trojan.Siggen11.44290

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\SYSTEM\CurrentControlSet\Control\Session Manager] 'BootExecute' = 'autocheck autochk *'

Устанавливает следующие настройки сервисов

[<HKLM>\System\CurrentControlSet\Services\ampa] 'ImagePath' = '<SYSTEM32>\ampa.sys'

Создает следующие сервисы

'ampa' <SYSTEM32>\ampa.sys

Вредоносные функции

Запускает на исполнение

'<SYSTEM32>\taskkill.exe' /im PartAssist.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\7zipsfx.000\cfg.ini
%TEMP%\7zipsfx.000\pthreadgc2.dll
%TEMP%\7zipsfx.000\scanpartition.dll
%TEMP%\7zipsfx.000\setupgreen32.exe
%TEMP%\7zipsfx.000\setupgreen64.exe
%TEMP%\7zipsfx.000\ssdsecurityerase.dll
%TEMP%\7zipsfx.000\uninstallab.dll
%TEMP%\7zipsfx.000\upgradeshow.dll
%TEMP%\7zipsfx.000\vhdmgr.dll
%TEMP%\7zipsfx.000\webctrl.dll
%TEMP%\7zipsfx.000\wimgapi.dll
%TEMP%\7zipsfx.000\wimmgr.dll
C:\amtag.bin
%TEMP%\7zipsfx.000\winchk.exe
%TEMP%\7zipsfx.000\wintogo.exe
%TEMP%\7zipsfx.000\wintogoportable.exe
%TEMP%\2e6f.tmp\wintogoportable2.cmd
nul
%TEMP%\7zipsfx.000\log\ampa0.log
%WINDIR%\ampa.exe
%WINDIR%\syswow64\ampa.sys
<SYSTEM32>\ampa.sys
%WINDIR%\temp\udd8e2b.tmp
%TEMP%\7zipsfx.000\peloaddrv.exe
%TEMP%\7zipsfx.000\wimlib-imagex.exe
%TEMP%\7zipsfx.000\pe.dll
%TEMP%\7zipsfx.000\libwim-15.dll
%TEMP%\7zipsfx.000\lang\en.txt
%TEMP%\7zipsfx.000\log\reg.log
%TEMP%\7zipsfx.000\other.ini
%TEMP%\7zipsfx.000\pacfg.ini
%TEMP%\7zipsfx.000\upgrade.ini
%TEMP%\7zipsfx.000\upgrade2.ini
%TEMP%\7zipsfx.000\winpeshl.ini
%TEMP%\7zipsfx.000\wnd.ini
%TEMP%\7zipsfx.000\exfat.dll
%TEMP%\7zipsfx.000\gptbcd.dll
%TEMP%\7zipsfx.000\libxml2-2.dll
%TEMP%\7zipsfx.000\partassist.exe
%TEMP%\7zipsfx.000\loaddrv_win32.exe
%TEMP%\7zipsfx.000\loaddrv_x64.exe
%TEMP%\7zipsfx.000\native\w2k\x86\fre\ampa.exe
%TEMP%\7zipsfx.000\native\w2k\x86\fre\ampa.sys
%TEMP%\7zipsfx.000\native\wlh\amd64\fre\ampa.exe
%TEMP%\7zipsfx.000\native\wlh\amd64\fre\ampa.sys
%TEMP%\7zipsfx.000\native\wlh\x86\fre\ampa.exe
%TEMP%\7zipsfx.000\native\wlh\x86\fre\ampa.sys
%TEMP%\7zipsfx.000\native\wnet\amd64\fre\ampa.exe
%TEMP%\7zipsfx.000\native\wnet\amd64\fre\ampa.sys
%TEMP%\7zipsfx.000\pathformat.dll
%WINDIR%\ga_of.dat

Присваивает атрибут 'скрытый' для следующих файлов

C:\amtag.bin

Удаляет следующие файлы

%WINDIR%\ampa.exe
%WINDIR%\syswow64\ampa.sys
%TEMP%\2e6f.tmp\wintogoportable2.cmd
%WINDIR%\temp\udd8e2b.tmp

Подменяет следующие файлы

%WINDIR%\ampa.exe
%WINDIR%\syswow64\ampa.sys

Сетевая активность

TCP

Запросы HTTP GET

http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt

'di###art.com':443

UDP

DNS ASK di###art.com
DNS ASK microsoft.com

Другое

Ищет следующие окна

ClassName: '' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\7zipsfx.000\wintogoportable.exe'
'%TEMP%\7zipsfx.000\partassist.exe'
'%TEMP%\7zipsfx.000\wintogo.exe'
'%TEMP%\7zipsfx.000\setupgreen64.exe' -u
'%TEMP%\7zipsfx.000\loaddrv_x64.exe' -u
'%TEMP%\7zipsfx.000\setupgreen64.exe'
'%TEMP%\7zipsfx.000\loaddrv_x64.exe'
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\2E6F.tmp\WinToGoPortable2.cmd" %TEMP%\7ZipSfx.000\WinToGoPortable.exe"' (со скрытым окном)
'%TEMP%\7zipsfx.000\setupgreen64.exe' -u' (со скрытым окном)
'%TEMP%\7zipsfx.000\loaddrv_x64.exe' -u' (со скрытым окном)
'%TEMP%\7zipsfx.000\setupgreen64.exe' ' (со скрытым окном)
'%TEMP%\7zipsfx.000\loaddrv_x64.exe' ' (со скрытым окном)