Trojan.Siggen12.62142

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

Изменения в файловой системе

Создает следующие файлы

C:\brokermonitordll\z40ue.bat
<SYSTEM32>\msvidctl\886983d96e3d3e31032c679b2d4ea91b6c05afef
<SYSTEM32>\msvidctl\csrss.exe
C:\documents and settings\ebf1f9fa8afd6d1932bd65bc4cc3af89a4c8e228
C:\documents and settings\cmd.exe
C:\documents and settings\cc11b995f2a76da408ea6a601e682e64743153ad
C:\documents and settings\winlogon.exe
C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\system.exe
<SYSTEM32>\msidcrl30\088424020bedd6b28ac7fd22ee35dcd7322895ce
C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\cc11b995f2a76da408ea6a601e682e64743153ad
C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\winlogon.exe
%ALLUSERSPROFILE%\adobe\9db6e019d4f04ef534d0f91b3462d805c40e9d20
%ALLUSERSPROFILE%\adobe\iexplore.exe
C:\brokermonitordll\cnmmyfrjtvcjh.vbe
C:\brokermonitordll\brokermonitordllfontreviewnet.exe
<SYSTEM32>\msidcrl30\conhost.exe
C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\27d1bcfc3c54e0e44ea423ffd4ee81fe73670a2a

Удаляет следующие файлы

<SYSTEM32>\tasks\iexplore
<SYSTEM32>\msvidctl\886983d96e3d3e31032c679b2d4ea91b6c05afef
<SYSTEM32>\msvidctl\csrss.exe
<SYSTEM32>\tasks\csrss
C:\documents and settings\ebf1f9fa8afd6d1932bd65bc4cc3af89a4c8e228
C:\documents and settings\cmd.exe
<SYSTEM32>\tasks\cmd
C:\documents and settings\cc11b995f2a76da408ea6a601e682e64743153ad
<SYSTEM32>\tasks\system
C:\documents and settings\winlogon.exe
<SYSTEM32>\msidcrl30\conhost.exe
<SYSTEM32>\tasks\conhost
C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\cc11b995f2a76da408ea6a601e682e64743153ad
C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\winlogon.exe
<SYSTEM32>\tasks\winlogon
%ALLUSERSPROFILE%\adobe\9db6e019d4f04ef534d0f91b3462d805c40e9d20
%ALLUSERSPROFILE%\adobe\iexplore.exe
<SYSTEM32>\msidcrl30\088424020bedd6b28ac7fd22ee35dcd7322895ce
C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\system.exe

Сетевая активность

Подключается к

TCP

Запросы HTTP GET

http://21#.#8.223.94/secureMultiGeneratortest.php?z3#############################################################################################################################################...

'ip##fo.io':443

UDP

Другое

Ищет следующие окна

Создает и запускает на исполнение

'%WINDIR%\syswow64\wscript.exe' "C:\BrokerMonitordll\CNMmYFrjTvcJH.vbe"
'C:\brokermonitordll\brokermonitordllfontreviewnet.exe'
'C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\system.exe'
'%WINDIR%\syswow64\cmd.exe' /c ""C:\BrokerMonitordll\z40UE.bat" "' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c ""C:\Recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\MmOhd9C9DA.bat" "' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c ""C:\BrokerMonitordll\z40UE.bat" "
'<SYSTEM32>\cmd.exe' /c ""C:\Recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\MmOhd9C9DA.bat" "
'<SYSTEM32>\schtasks.exe' /Delete /tn "System" /f
'<SYSTEM32>\schtasks.exe' /Delete /tn "csrss" /f
'<SYSTEM32>\schtasks.exe' /Delete /tn "cmd" /f
'<SYSTEM32>\schtasks.exe' /Delete /tn "conhost" /f
'<SYSTEM32>\schtasks.exe' /Delete /tn "winlogon" /f
'<SYSTEM32>\chcp.com' 65001
'<SYSTEM32>\schtasks.exe' /Delete /tn "iexplore" /f
'<SYSTEM32>\schtasks.exe' /create /tn "csrss" /sc ONLOGON /tr "'<SYSTEM32>\MSVidCtl\csrss.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "cmd" /sc ONLOGON /tr "'C:\Documents and Settings\cmd.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "winlogon" /sc ONLOGON /tr "'C:\Documents and Settings\winlogon.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "conhost" /sc ONLOGON /tr "'<SYSTEM32>\msidcrl30\conhost.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "winlogon" /sc ONLOGON /tr "'C:\Recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\winlogon.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "iexplore" /sc ONLOGON /tr "'%ALLUSERSPROFILE%\Adobe\iexplore.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "System" /sc ONLOGON /tr "'C:\Recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\System.exe'" /rl HIGHEST /f
'<SYSTEM32>\ping.exe' -n 10 localhost