Trojan.Siggen12.31116

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'cmopfXwHhTnUeGmlvVTbAPE' = 'explorer.exe "%WINDIR%\Resources\Themes\aero\Shell\ouUzTYLjrprADkeqH\svchost.exe"'

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует запуск следующих системных утилит:

блокирует:

добавляет исключения антивируса с помощью следующих ключей реестра::

[<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows Defender\Exclusions\Paths] '<Полный путь к файлу>' = '00000000'
[<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows Defender\Exclusions\Paths] '%WINDIR%\Resources\Themes\aero\Shell\ouUzTYLjrprADkeqH\svchost.exe' = '00000000'

Изменения в файловой системе

Создает следующие файлы

%LOCALAPPDATA%\radiobuttonaccessibleobje\<Имя файла>.exe_url_y1aeorw4tzhrouy5w01y0xloqdki55my\6.412.603.424\gyt20pby.newcfg
%TEMP%\6d62bd81-337d-4955-87b2-892ad7732da5\advancedrun.exe
%TEMP%\6d62bd81-337d-4955-87b2-892ad7732da5\test.bat
%WINDIR%\resources\themes\aero\shell\ouuztyljrpradkeqh\svchost.exe
%TEMP%\a48a6a4d-258a-4775-acaa-a322b9dec867\advancedrun.exe

Удаляет следующие файлы

Перемещает следующие файлы

%LOCALAPPDATA%\radiobuttonaccessibleobje\<Имя файла>.exe_url_y1aeorw4tzhrouy5w01y0xloqdki55my\6.412.603.424\gyt20pby.newcfg в %LOCALAPPDATA%\radiobuttonaccessibleobje\<Имя файла>.exe_url_y1aeorw4tzhrouy5w01y0xloqdki55my\6.412.603.424\user.config

Сетевая активность

Подключается к

TCP

Запросы HTTP GET

http://li#####olofcfanclub.com/liverpool-fc-news/features/steven-gerrard-liverpool-future-dalglish--goal-572E22E8B14519A75CA537A988967A85.html

UDP

Другое

Создает и запускает на исполнение

'%TEMP%\6d62bd81-337d-4955-87b2-892ad7732da5\advancedrun.exe' /EXEFilename "%TEMP%\6d62bd81-337d-4955-87b2-892ad7732da5\test.bat" /WindowState ""0"" /PriorityClass ""32"" /CommandLine "" /StartDirectory "" /RunAs 8 /Run
'%TEMP%\6d62bd81-337d-4955-87b2-892ad7732da5\advancedrun.exe' /SpecialRun 4101d8 2592
'%TEMP%\a48a6a4d-258a-4775-acaa-a322b9dec867\advancedrun.exe' /EXEFilename "<Полный путь к файлу>" /WindowState ""1"" /PriorityClass ""32"" /CommandLine "" /StartDirectory "" /RunAs 8 /Run
'%TEMP%\a48a6a4d-258a-4775-acaa-a322b9dec867\advancedrun.exe' /SpecialRun 4101d8 920
'%TEMP%\6d62bd81-337d-4955-87b2-892ad7732da5\advancedrun.exe' /EXEFilename "%TEMP%\6d62bd81-337d-4955-87b2-892ad7732da5\test.bat" /WindowState ""0"" /PriorityClass ""32"" /CommandLine "" /StartDirectory "" /RunAs 8 /Run' (со скрытым окном)
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "<Полный путь к файлу>" -Force' (со скрытым окном)
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%WINDIR%\Resources\Themes\aero\Shell\ouUzTYLjrprADkeqH\svchost.exe" -Force' (со скрытым окном)
'%TEMP%\a48a6a4d-258a-4775-acaa-a322b9dec867\advancedrun.exe' /EXEFilename "<Полный путь к файлу>" /WindowState ""1"" /PriorityClass ""32"" /CommandLine "" /StartDirectory "" /RunAs 8 /Run' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "<Полный путь к файлу>" -Force
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%WINDIR%\Resources\Themes\aero\Shell\ouUzTYLjrprADkeqH\svchost.exe" -Force