Trojan.Siggen12.60448

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'MSFEEditor' = '"<Полный путь к файлу>" e'

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\delete.avi
<Имя диска съемного носителя>:\delete.avi.inprocess
<Имя диска съемного носителя>:\archer.avi

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует:

Компонент восстановления системы (SR)

удаляет теневые копии разделов.

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: 'RegmonClass', WindowName: ''
ClassName: 'FilemonClass', WindowName: ''
ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\key.file
%HOMEPATH%\desktop\recovery_instructions.mht
g:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1001\desktop.ini
%WINDIR%\logs\windowsbackup\wbadmin.0.etl
C:\recovery_instructions.mht
C:\users\public\desktop\recovery_instructions.mht
D:\recovery_instructions.mht
g:\bootmgr.inprocess
g:\bootsect.bak.inprocess
g:\xeldz.inprocess

Присваивает атрибут 'скрытый' для следующих файлов

g:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1001\desktop.ini
g:\bootmgr.readinstructions
g:\bootsect.bak.readinstructions
g:\xeldz.readinstructions

Перемещает следующие файлы

%WINDIR%\logs\windowsbackup\wbadmin.0.etl в %WINDIR%\logs\windowsbackup\wbadmin.1.etl
%WINDIR%\logs\windowsbackup\wbadmin.1.etl в %WINDIR%\logs\windowsbackup\wbadmin.2.etl
g:\bootmgr.inprocess в g:\bootmgr.readinstructions
g:\bootsect.bak.inprocess в g:\bootsect.bak.readinstructions
g:\xeldz.inprocess в g:\xeldz.readinstructions
%ProgramFiles(x86)%\mozilla firefox\precomplete в %ProgramFiles(x86)%\mozilla firefox\precomplete.inprocess
%ProgramFiles(x86)%\mozilla firefox\precomplete.inprocess в %ProgramFiles(x86)%\mozilla firefox\precomplete.readinstructions
%ProgramFiles(x86)%\mozilla firefox\removed-files в %ProgramFiles(x86)%\mozilla firefox\removed-files.inprocess
%ProgramFiles(x86)%\mozilla firefox\removed-files.inprocess в %ProgramFiles(x86)%\mozilla firefox\removed-files.readinstructions
%ProgramFiles(x86)%\mozilla thunderbird\precomplete в %ProgramFiles(x86)%\mozilla thunderbird\precomplete.inprocess
%ProgramFiles(x86)%\mozilla thunderbird\precomplete.inprocess в %ProgramFiles(x86)%\mozilla thunderbird\precomplete.readinstructions
%ProgramFiles(x86)%\opera\server_tracking_data в %ProgramFiles(x86)%\opera\server_tracking_data.inprocess
%ProgramFiles(x86)%\opera\server_tracking_data.inprocess в %ProgramFiles(x86)%\opera\server_tracking_data.readinstructions
%ProgramFiles(x86)%\mozilla thunderbird\removed-files в %ProgramFiles(x86)%\mozilla thunderbird\removed-files.inprocess
%ProgramFiles(x86)%\mozilla thunderbird\removed-files.inprocess в %ProgramFiles(x86)%\mozilla thunderbird\removed-files.readinstructions

Изменяет следующие файлы

<Имя диска съемного носителя>:\delete.avi.inprocess
C:\totalcmd\totalcmd.chm.inprocess
C:\far2\farger.lng.inprocess
C:\totalcmd\tcuninst.wul.inprocess
C:\far2\fareng.lng.inprocess
C:\totalcmd\tcunin64.wul.inprocess
C:\totalcmd\size!.txt.inprocess
C:\far2\fareng.hlf.inprocess
C:\far2\farcze.lng.inprocess
C:\totalcmd\register.rtf.inprocess
C:\totalcmd\no.bar.inprocess
C:\far2\far.map.inprocess
C:\totalcmd\keyboard.txt.inprocess
C:\far2\clearpluginscache.cmd.inprocess
%ProgramFiles(x86)%\mozilla thunderbird\removed-files.inprocess
%ProgramFiles(x86)%\opera\server_tracking_data.inprocess
%ProgramFiles(x86)%\mozilla thunderbird\precomplete.inprocess
C:\totalcmd\history.txt.inprocess
C:\far2\changelog_eng.inprocess
%ProgramFiles(x86)%\mozilla firefox\removed-files.inprocess
C:\totalcmd\descript.ion.inprocess
C:\far2\addons\readme.txt.inprocess
%ProgramFiles(x86)%\mozilla firefox\precomplete.inprocess
C:\totalcmd\default.bar.inprocess
C:\far2\addons\descript.ion.inprocess
C:\far2\changelog.inprocess
D:\install.log.inprocess
<Имя диска съемного носителя>:\archer.avi.inprocess
C:\far2\farhun.hlf.inprocess
C:\totalcmd\totalcmd.inc.inprocess

Изменяет множество файлов.

Подменяет следующие файлы

%WINDIR%\logs\windowsbackup\wbadmin.0.etl
%WINDIR%\logs\windowsbackup\wbadmin.1.etl
C:\Users\Default\NTUSER.DAT.LOG2

Другое

Ищет следующие окна

ClassName: 'Registry Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
ClassName: '18467-41' WindowName: ''
ClassName: 'File Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
ClassName: 'Process Monitor - Sysinternals: www.sysinternals.com' WindowName: ''

Запускает на исполнение

'<SYSTEM32>\vssadmin.exe' Resize ShadowStorage /for=c: /on=c: /maxsize=401MB
'<SYSTEM32>\vssadmin.exe' Resize ShadowStorage /for=c: /on=c: /maxsize=unbounded
'<SYSTEM32>\vssadmin.exe' Resize ShadowStorage /for=d: /on=d: /maxsize=401MB
'<SYSTEM32>\vssadmin.exe' Resize ShadowStorage /for=d: /on=d: /maxsize=unbounded
'<SYSTEM32>\vssadmin.exe' Resize ShadowStorage /for=e: /on=e: /maxsize=401MB
'<SYSTEM32>\vssadmin.exe' Resize ShadowStorage /for=e: /on=e: /maxsize=unbounded
'<SYSTEM32>\vssadmin.exe' Resize ShadowStorage /for=f: /on=f: /maxsize=401MB
'<SYSTEM32>\vssadmin.exe' Resize ShadowStorage /for=f: /on=f: /maxsize=unbounded
'<SYSTEM32>\vssadmin.exe' Resize ShadowStorage /for=g: /on=g: /maxsize=401MB
'<SYSTEM32>\vssadmin.exe' Resize ShadowStorage /for=g: /on=g: /maxsize=unbounded
'<SYSTEM32>\vssadmin.exe' Resize ShadowStorage /for=h: /on=h: /maxsize=401MB
'<SYSTEM32>\vssadmin.exe' Resize ShadowStorage /for=h: /on=h: /maxsize=unbounded
'<SYSTEM32>\bcdedit.exe' /set {default} bootstatuspolicy ignoreallfailures
'<SYSTEM32>\wbadmin.exe' DELETE SYSTEMSTATEBACKUP
'<SYSTEM32>\wbadmin.exe' DELETE SYSTEMSTATEBACKUP -deleteOldest
'<SYSTEM32>\wbem\wmic.exe' SHADOWCOPY /nointeractive