Trojan.PWS.Siggen1.607

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Win32' = '%WINDIR%\Win32.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'Win32' = '%WINDIR%\Win32.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = '%WINDIR%\Win32.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Win32' = '%WINDIR%\Win32.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Win32' = '%WINDIR%\Win32.bat'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'Win32' = '%WINDIR%\Win32.exe'

Создает или изменяет следующие файлы:

%HOMEPATH%\Start Menu\Programs\Startup\Win32.exe
%HOMEPATH%\Start Menu\Programs\Startup\ufr_reports\NO_PWDS_report_23-10-2012_00-44-34-11071972-PDGM.bin
%HOMEPATH%\Start Menu\Programs\Startup\Win.lnk
%HOMEPATH%\Start Menu\Programs\Startup\host.lnk

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует запуск следующих системных утилит:

Редактора реестра (RegEdit)

Создает и запускает на исполнение:

%WINDIR%\AppPatch\en-US\Virus.exe
%WINDIR%\Win32.exe /f
%TEMP%\Win32.exe
%HOMEPATH%\Start Menu\Programs\Startup\Win32.exe
%WINDIR%\AppPatch\en-US\Win32.exe
%WINDIR%\AppPatch\en-US\Banner.exe
%WINDIR%\AppPatch\en-US\hacktool.exe

Запускает на исполнение:

<SYSTEM32>\reg.exe add "HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce" /v Win32 /t REG_SZ /d %WINDIR%\Win32.exe /f
<SYSTEM32>\reg.exe add HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableRegistryTools /t REG_DWORD /d 1 /f
<SYSTEM32>\reg.exe add "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /v Win32 /t REG_SZ /d %WINDIR%\Win32.exe /f
<SYSTEM32>\reg.exe add HKCU\Software\Microsoft\Windows\CurrentVersion\Polices\System /v DisableTaskMgr /t REG_DWORD /d 1 /f
<SYSTEM32>\reg.exe add "HKLM\SOFTWARE\Microsoft\Windows
<SYSTEM32>\reg.exe add "HKLM\SOFTWARE\Microsoft\TelnetServer\1.0" /v DefaultShell /t REG_EXPAND_SZ/d %WINDIR%\Win32.exe /f
<SYSTEM32>\reg.exe add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v Shell /t REG_SZ /d %WINDIR%\Win32.exe /f
<SYSTEM32>\reg.exe add HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableCMD/t REG_DWORD/d 2 /f
<SYSTEM32>\reg.exe Delete HKLM\System\CurrentControlSet\Control\SafeBoot /q
<SYSTEM32>\reg.exe add "HKLM\Software\Microsoft\Windows\CurrentVersion\Run" /v Win32 /t REG_SZ /d %WINDIR%\Win32.exe /f
<SYSTEM32>\cmd.exe /c ""%TEMP%\3.tmp\Virus.bat""
<SYSTEM32>\cmd.exe /c ""%TEMP%\1.tmp\Banner.bat""
<SYSTEM32>\cmd.exe /c ""%TEMP%\2.tmp\hacktool.bat""
<SYSTEM32>\reg.exe Delete HKLM\System\CurrentControlSet\Control\SafeBoot\*.* /q
<SYSTEM32>\reg.exe add "HKLM\Software\Microsoft\Windows\CurrentVersion\RunOnce" /v Win32 /t REG_SZ /d %WINDIR%\Win32.exe /f
<SYSTEM32>\taskkill.exe /f /im explorer.exe
<SYSTEM32>\reg.exe add "HKLM\Software\Microsoft\Windows\CurrentVersion\Run" /v Win32 /t REG_SZ /d %WINDIR%\Win32.bat /f

Завершает или пытается завершить

следующие системные процессы:

%WINDIR%\Explorer.EXE

следующие пользовательские процессы:

magent.exe
ICQ.exe

Ищет ветки реестра, отвечающие за хранение паролей сторонними программами:

[<HKLM>\SOFTWARE\FlashFXP]
[<HKLM>\Software\Ghisler\Total Commander]
[<HKCU>\Software\Ghisler\Total Commander]
[<HKCU>\Software\Google\Google Talk\Accounts]
[<HKCU>\Software\FTPWare\CoreFTP\Sites]
[<HKCU>\Software\Far\Plugins\FTP\Hosts]
[<HKCU>\Software\Far2\Plugins\FTP\Hosts]

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: 'PROCMON_WINDOW_CLASS' WindowName: ''

обнаружения различных программ и игр:

ClassName: 'gdkWindowToplevel' WindowName: 'The Wireshark Network Analyzer'

Изменения в файловой системе:

Создает следующие файлы:

C:\Win32.bat
%WINDIR%\Win32.bat
%TEMP%\3.tmp\Virus.bat
%TEMP%\Win32.exe
%TEMP%\NO_PWDS_report_23-10-2012_00-44-34-11071972-PDGM.bin
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\whatismyip.akamai[1]
%TEMP%\report_23-10-2012_00-44-34-11071972-PDGM.bin
%WINDIR%\AppPatch\en-US\Banner.exe
%WINDIR%\AppPatch\en-US\Virus.exe
%WINDIR%\AppPatch\en-US\hacktool.exe
%WINDIR%\AppPatch\en-US\Win32.exe
%WINDIR%\Win32.exe
%TEMP%\2.tmp\hacktool.bat
%TEMP%\1.tmp\Banner.bat

Присваивает атрибут 'скрытый' для следующих файлов:

%HOMEPATH%\Start Menu\Programs\Startup\Win32.exe

Удаляет следующие файлы:

%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\whatismyip.akamai[1]
%TEMP%\NO_PWDS_report_23-10-2012_00-44-34-11071972-PDGM.bin
%TEMP%\1.tmp\Banner.bat
%TEMP%\3.tmp\Virus.bat
%TEMP%\2.tmp\hacktool.bat

Перемещает следующие файлы: