Trojan.Siggen12.34330

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] '<Имя файла>.exe' = '"%WINDIR%\SysWOW64\cmd.exe" /c "%TEMP%\AIDA64\z3_Stop.cmd" Delete'

Устанавливает следующие настройки сервисов

[<HKLM>\System\CurrentControlSet\Services\AIDA64Driver] 'ImagePath' = '%TEMP%\AIDA64\kerneld.x64'
[<HKLM>\System\CurrentControlSet\Services\AIDA64Driver] 'ImagePath' = '%TEMP%\AIDA64\kerneld.v64'

Создает следующие сервисы

'AIDA64Driver' %TEMP%\AIDA64\kerneld.x64
'AIDA64Driver' %TEMP%\AIDA64\kerneld.v64

Изменения в файловой системе

Создает следующие файлы

%TEMP%\aida64\aida64.dat
%TEMP%\aida64\aida64.exe
%TEMP%\aida64\aidawaitstop.exe
%TEMP%\aida64\aida_arc.dll
%TEMP%\aida64\aida_bench32.dll
%TEMP%\aida64\aida_bench64.dll
%TEMP%\aida64\aida_diskbench.dll
%TEMP%\aida64\aida_helper64.dll
%TEMP%\aida64\aida_icons10.dll
%TEMP%\aida64\aida_icons2k.dll
%TEMP%\aida64\aida_mondiag.dll
%TEMP%\aida64\aida_rcc.dll
%TEMP%\aida64\aida_rcs.dll
%TEMP%\aida64\aida_update.dll
%TEMP%\nsxd366.tmp\system.dll
%TEMP%\aida64\cuesdk_2015.dll
%TEMP%\aida64\libeay32.dll
%TEMP%\aida64\rogaiosdk.dll
%TEMP%\aida64\runasdate.exe
%TEMP%\aida64\ssleay32.dll
%TEMP%\aida64\storarc.dll
%TEMP%\aida64\storelib.dll
%TEMP%\aida64\storelibir-2.dll
%TEMP%\aida64\storelibir.dll
%TEMP%\aida64\z4_set.txt
nul
%TEMP%\dateinj01.dll
%TEMP%\aida64\afaapi.dll
%TEMP%\aida64\aida_uires.dll
%TEMP%\aida64\z3_stop.cmd
%TEMP%\aida64\language\lang_by.txt
%TEMP%\aida64\aida64.exe.manifest
%TEMP%\aida64\aida64.ini
%TEMP%\aida64\aida64.mem
%TEMP%\aida64\aida64.reg.ini
%TEMP%\aida64\aida64.web
%TEMP%\aida64\aida_cpl.cpl
%TEMP%\aida64\aida_vsb.vsb
%TEMP%\aida64\kerneld.ia64
%TEMP%\aida64\kerneld.v64
%TEMP%\aida64\kerneld.w9x
%TEMP%\aida64\kerneld.x32
%TEMP%\aida64\kerneld.x64
%TEMP%\aida64\language\lang_ru.txt
%TEMP%\aida64\sql_schema\db - sybase.sql
%TEMP%\aida64\language\lang_ua.txt
%TEMP%\aida64\pkey.txt
%TEMP%\aida64\runasdate from command-line.txt
%TEMP%\aida64\runasdate.cfg
%TEMP%\aida64\runasdate_lng.ini
%TEMP%\aida64\sql_schema\db - access.mdb
%TEMP%\aida64\sql_schema\db - access97.mdb
%TEMP%\aida64\sql_schema\db - interbase.sql
%TEMP%\aida64\sql_schema\db - mysql.sql
%TEMP%\aida64\sql_schema\db - oracle.sql
%TEMP%\aida64\sql_schema\db - postgresql.sql
%TEMP%\aida64\sql_schema\db - sql server.sql
%TEMP%\aida64\z2_start.cmd
%WINDIR%\temp\udde81d.tmp

Удаляет следующие файлы

%WINDIR%\temp\udde81d.tmp

Другое

Создает и запускает на исполнение

'%TEMP%\aida64\runasdate.exe' /movetime 02.11.2020 00:00:00 "%TEMP%\AIDA64\aida64.exe"
'%TEMP%\aida64\aida64.exe'
'%TEMP%\aida64\aidawaitstop.exe'
'%WINDIR%\syswow64\cmd.exe' /c cd /d %LOCALAPPDATA%\Temp&rd /S /Q "%TEMP%\7ZipSfx.000"&(FOR /F "Tokens=1,2 Delims=," %I IN ('"Tasklist /FO CSV /NH|FINDSTR /BILC:\"<Имя файла>.exe\""') DO SET /A N+=1&cmd /v/c IF !N! GTR 2 ...' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c z2_Start.cmd' (со скрытым окном)
'%TEMP%\aida64\runasdate.exe' /movetime 02.11.2020 00:00:00 "%TEMP%\AIDA64\aida64.exe"' (со скрытым окном)
'%TEMP%\aida64\aidawaitstop.exe' ' (со скрытым окном)
'<SYSTEM32>\ie4uinit.exe' -ClearIconCache' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c cd /d %LOCALAPPDATA%\Temp&rd /S /Q "%TEMP%\7ZipSfx.000"&(FOR /F "Tokens=1,2 Delims=," %I IN ('"Tasklist /FO CSV /NH|FINDSTR /BILC:\"<Имя файла>.exe\""') DO SET /A N+=1&cmd /v/c IF !N! GTR 2 ...
'%WINDIR%\syswow64\reg.exe' EXPORT "HKCU\Software\FinalWire" aida64_Save.reg
'%WINDIR%\syswow64\reg.exe' query "HKCU\Software\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_BROWSER_EMULATION" /v aida64.exe
'%WINDIR%\syswow64\reg.exe' query "HKCU\Software\Microsoft\Internet Explorer\Main\FeatureControl"
'%WINDIR%\syswow64\reg.exe' ADD "HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce" /v "<Имя файла>.exe" /d "\"%WINDIR%\SysWOW64\cmd.exe\" /c \"%TEMP%\AIDA64\z3_Stop.cmd\" Delete" /f
'%WINDIR%\syswow64\route.exe' add 82.131.160.82 10.0.83.0 if 1
'%WINDIR%\syswow64\find.exe' " 0.0.0.0"
'%WINDIR%\syswow64\cmd.exe' /c route print | find " 0.0.0.0"
'%WINDIR%\syswow64\find.exe' /i "loopback interface"
'%WINDIR%\syswow64\reg.exe' DELETE "HKCU\Software\FinalWire" /f
'%WINDIR%\syswow64\route.exe' print
'%WINDIR%\syswow64\find.exe' "5."
'%WINDIR%\syswow64\reg.exe' query "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion" /v "CurrentVersion"
'%WINDIR%\syswow64\cmd.exe' /c z2_Start.cmd
'%WINDIR%\syswow64\cmd.exe' /v/c IF !N! LEQ 1 (if exist "%TEMP%\AIDA64\z3_Stop.cmd" (call "%TEMP%\AIDA64\z5_\z3_Stop.cmd") else (rd /s /q "%TEMP%\AIDA64"))
'%WINDIR%\syswow64\cmd.exe' /v/c IF !N! GTR 2 TASKKILL /F /T /PID 2508
'%WINDIR%\syswow64\findstr.exe' /BILC:\"<Имя файла>.exe\"
'%WINDIR%\syswow64\tasklist.exe' /FO CSV /NH
'%WINDIR%\syswow64\cmd.exe' /c "Tasklist /FO CSV /NH|FINDSTR /BILC:\"<Имя файла>.exe\""
'%WINDIR%\syswow64\cmd.exe' /c route print | find /i "loopback interface"
'<SYSTEM32>\ie4uinit.exe' -ClearIconCache