Trojan.Siggen13.4754

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[<HKLM>\System\CurrentControlSet\Services\GENERICDRV] 'ImagePath' = '%TEMP%\RarSFX0\amifldrv64.sys'
[<HKLM>\System\CurrentControlSet\Services\pmxdrv] 'ImagePath' = '<DRIVERS>\pmxdrv.sys'

Создает следующие сервисы

'GENERICDRV' %TEMP%\RarSFX0\amifldrv64.sys
'pmxdrv' <DRIVERS>\pmxdrv.sys

Изменения в файловой системе

Создает следующие файлы

%TEMP%\rarsfx0\rwe\read.bat
%TEMP%\rarsfx0\11.12.82.1838\pmxdll.dll
%TEMP%\rarsfx0\11.8.80.3762\pmxdll.dll
%TEMP%\rarsfx0\1.1.5.1162\pmxdll32e.dll
%TEMP%\rarsfx0\2.0.5.3112\pmxdll32e.dll
%TEMP%\rarsfx0\3.1.70.2340\pmxdll32e.dll
%TEMP%\rarsfx0\4.0.26.1337\pmxdll32e.dll
%TEMP%\rarsfx0\11.11.50.1466\pmxdll32e.dll
%TEMP%\rarsfx0\11.8.80.3762\pmxdll32e.dll
%TEMP%\rarsfx0\rwe\1\lowmem.1.bin
%TEMP%\rarsfx0\13.0.20.1312\pmxdll32e.dll
%TEMP%\rarsfx0\amifldrv32.sys
%TEMP%\rarsfx0\amifldrv64.sys
%TEMP%\rarsfx0\amifldrv.vxd
%TEMP%\rarsfx0\info.txt
nul
%TEMP%\rarsfx0\rwe\1\dmp.exe
%TEMP%\rarsfx0\11.11.50.1466\pmxdll.dll
%TEMP%\rarsfx0\11.12.82.1838\pmxdll32e.dll
%TEMP%\rarsfx0\4.0.26.1337\pmxdll.dll
%TEMP%\rarsfx0\11.11.50.1466\idrvdll32e.dll
%TEMP%\rarsfx0\11.11.50.1466\idrvdll.dll
%TEMP%\rarsfx0\11.12.82.1838\idrvdll.dll
%TEMP%\rarsfx0\11.8.80.3762\idrvdll.dll
%TEMP%\rarsfx0\1.1.5.1162\idrvdll32e.dll
%TEMP%\rarsfx0\2.0.5.3112\idrvdll32e.dll
%TEMP%\rarsfx0\3.1.70.2340\idrvdll32e.dll
%TEMP%\rarsfx0\4.0.26.1337\idrvdll32e.dll
%TEMP%\rarsfx0\11.12.82.1838\idrvdll32e.dll
%TEMP%\rarsfx0\9.5.40.1868\pmxdll.dll
%TEMP%\rarsfx0\11.8.80.3762\idrvdll32e.dll
%TEMP%\rarsfx0\13.0.20.1312\idrvdll32e.dll
%TEMP%\rarsfx0\13.0.20.1312\pmxdll.dll
%TEMP%\rarsfx0\1.1.5.1162\pmxdll.dll
%TEMP%\rarsfx0\10.0.60.3000\pmxdll.dll
%TEMP%\rarsfx0\2.0.5.3112\pmxdll.dll
%TEMP%\rarsfx0\8.1.60.1561\pmxdll.dll
%TEMP%\rarsfx0\3.1.70.2340\pmxdll.dll
%TEMP%\rarsfx0\rwe\1\lowmem.2.bin
%TEMP%\rarsfx0\rwe\1\pcmp.bin
%TEMP%\rarsfx0\rwe\1\apic.bin
%WINDIR%\temp\udd2149.tmp
%WINDIR%\temp\udd30b4.tmp
%TEMP%\rarsfx0\10.0.60.3000\error.log
%WINDIR%\temp\udd3a18.tmp
%TEMP%\rarsfx0\8.1.60.1561\error.log
%WINDIR%\temp\udd42c0.tmp
%TEMP%\rarsfx0\11.11.50.1466\error.log
%WINDIR%\temp\udd2138.tmp
%TEMP%\rarsfx0\9.5.40.1868\error.log
%TEMP%\rarsfx0\2.0.5.3112\error.log
%TEMP%\rarsfx0\1.1.5.1162\error.log
%TEMP%\rarsfx0\results20.rar
%TEMP%\rarsfx0\__rar_0.297
%TEMP%\rarsfx0\__rar_0.544
%TEMP%\rarsfx0\__rar_0.904
%TEMP%\rarsfx0\4.0.26.1337\error.log
%TEMP%\rarsfx0\3.1.70.2340\error.log
%TEMP%\rarsfx0\11.8.80.3762\error.log
%WINDIR%\temp\udd982.tmp
%TEMP%\rarsfx0\11.12.82.1838\error.log
%TEMP%\rarsfx0\rwe\1\hpet.bin
%TEMP%\rarsfx0\rwe\1\ssdt.bin
%TEMP%\rarsfx0\rwe\1\slic.bin
%TEMP%\rarsfx0\rwe\1\dsdt.bin
%TEMP%\rarsfx0\rwe\1\xsdt.bin
%TEMP%\rarsfx0\rwe\1\smbios.bin
%TEMP%\rarsfx0\rwe\1\hpqoem.0.xrm-ms
%TEMP%\rarsfx0\rwe\1\facp.bin
%TEMP%\rarsfx0\rwe\1\digitalproductid.bin
%TEMP%\rarsfx0\slic.bin
%TEMP%\rarsfx0\rwe\rw.dmp
%TEMP%\rarsfx0\rwe\re.rar
%WINDIR%\temp\udd3e.tmp
%TEMP%\rarsfx0\result0.png
%TEMP%\rarsfx0\fpt-info.txt
<DRIVERS>\pmxdrv.sys
%TEMP%\rarsfx0\rwe\1\pkey.txt
%TEMP%\rarsfx0\4.0.26.1337\idrvdll.dll
%TEMP%\rarsfx0\__rar_0.613
%TEMP%\rarsfx0\3.1.70.2340\idrvdll.dll
%TEMP%\rarsfx0\9.5.40.1868\idrvdll.dll
%TEMP%\rarsfx0\10.0.60.3000\fparts.txt
%TEMP%\rarsfx0\2.0.5.3112\fparts.txt
%TEMP%\rarsfx0\11.11.50.1466\fparts.txt
%TEMP%\rarsfx0\11.8.80.3762\fparts.txt
%TEMP%\rarsfx0\3.1.70.2340\fparts.txt
%TEMP%\rarsfx0\4.0.26.1337\fparts.txt
%TEMP%\rarsfx0\11.12.82.1838\fparts.txt
%TEMP%\rarsfx0\acpidump.exe
%TEMP%\rarsfx0\findver.exe
%TEMP%\rarsfx0\afuvw.exe
%TEMP%\rarsfx0\afuvw64.exe
%TEMP%\rarsfx0\amidevw.exe
%TEMP%\rarsfx0\amidevw64.exe
%TEMP%\rarsfx0\rwe\dd.exe
%TEMP%\rarsfx0\devconw.exe
%TEMP%\rarsfx0\devconw64.exe
%TEMP%\rarsfx0\1.1.5.1162\fparts.txt
%TEMP%\rarsfx0\start.bat
%TEMP%\rarsfx0\9.5.40.1868\fparts.txt
%TEMP%\rarsfx0\12.0.70.1652\read.bat
%TEMP%\rarsfx0\10.0.60.3000\read.bat
%TEMP%\rarsfx0\8.1.60.1561\read.bat
%TEMP%\rarsfx0\9.5.40.1868\read.bat
%TEMP%\rarsfx0\1.1.5.1162\read.bat
%TEMP%\rarsfx0\11.11.50.1466\read.bat
%TEMP%\rarsfx0\11.12.82.1838\read.bat
%TEMP%\rarsfx0\11.8.80.3762\read.bat
%TEMP%\rarsfx0\13.0.20.1312\read.bat
%TEMP%\rarsfx0\4.0.26.1337\read.bat
%TEMP%\rarsfx0\13.0.37.1556\read.bat
%TEMP%\rarsfx0\13.30.0.1065\read.bat
%TEMP%\rarsfx0\14.0.47.1500\read.bat
%TEMP%\rarsfx0\14.5.25.1229\read.bat
%TEMP%\rarsfx0\15.0.21.1549\read.bat
%TEMP%\rarsfx0\2.0.5.3112\read.bat
%TEMP%\rarsfx0\3.1.70.2340\read.bat
%TEMP%\rarsfx0\8.1.60.1561\fparts.txt
%TEMP%\rarsfx0\3.1.70.2340\fptw.exe
%TEMP%\rarsfx0\4.0.26.1337\fptw.exe
%TEMP%\rarsfx0\13.0.20.1312\fptw.exe
%TEMP%\rarsfx0\11.12.82.1838\fptw64.exe
%TEMP%\rarsfx0\11.8.80.3762\fptw64.exe
%TEMP%\rarsfx0\13.0.37.1556\fptw64.exe
%TEMP%\rarsfx0\13.30.0.1065\fptw64.exe
%TEMP%\rarsfx0\11.11.50.1466\fptw64.exe
%TEMP%\rarsfx0\12.0.70.1652\fptw64.exe
%TEMP%\rarsfx0\14.0.47.1500\fptw64.exe
%TEMP%\rarsfx0\15.0.21.1549\fptw64.exe
%TEMP%\rarsfx0\m1.exe
%TEMP%\rarsfx0\sce5w64.exe
%TEMP%\rarsfx0\skhot.exe
%TEMP%\rarsfx0\1.1.5.1162\idrvdll.dll
%TEMP%\rarsfx0\10.0.60.3000\idrvdll.dll
%TEMP%\rarsfx0\2.0.5.3112\idrvdll.dll
%TEMP%\rarsfx0\8.1.60.1561\idrvdll.dll
%TEMP%\rarsfx0\rar.exe
%TEMP%\rarsfx0\sce5w.exe
%TEMP%\rarsfx0\14.5.25.1229\fptw64.exe
%TEMP%\rarsfx0\1.1.5.1162\fptw64.exe
%TEMP%\rarsfx0\2.0.5.3112\fptw64.exe
%TEMP%\rarsfx0\14.0.47.1500\fptw.exe
%TEMP%\rarsfx0\2.0.5.3112\fptw.exe
%TEMP%\rarsfx0\1.1.5.1162\fptw.exe
%TEMP%\rarsfx0\8.1.60.1561\fptw.exe
%TEMP%\rarsfx0\9.5.40.1868\fptw.exe
%TEMP%\rarsfx0\10.0.60.3000\fptw.exe
%TEMP%\rarsfx0\15.0.21.1549\fptw.exe
%TEMP%\rarsfx0\14.5.25.1229\fptw.exe
%TEMP%\rarsfx0\11.12.82.1838\fptw.exe
%TEMP%\rarsfx0\13.0.37.1556\fptw.exe
%TEMP%\rarsfx0\13.30.0.1065\fptw.exe
%TEMP%\rarsfx0\11.11.50.1466\fptw.exe
%TEMP%\rarsfx0\12.0.70.1652\fptw.exe
%TEMP%\rarsfx0\4.0.26.1337\fptw64.exe
%TEMP%\rarsfx0\3.1.70.2340\fptw64.exe
%TEMP%\rarsfx0\13.0.20.1312\fptw64.exe
%TEMP%\rarsfx0\11.8.80.3762\fptw.exe
%TEMP%\rarsfx0\13.0.20.1312\idrvdll.dll
%TEMP%\rarsfx0\__rar_0.717

Удаляет следующие файлы

%TEMP%\rarsfx0\rwe\1\xsdt.bin
%TEMP%\rarsfx0\results20.rar
%WINDIR%\temp\udd42c0.tmp
%WINDIR%\temp\udd3a18.tmp
%WINDIR%\temp\udd30b4.tmp
%WINDIR%\temp\udd2149.tmp
%WINDIR%\temp\udd982.tmp
%WINDIR%\temp\udd2138.tmp
%WINDIR%\temp\udd3e.tmp
%TEMP%\rarsfx0\rwe\rw.dmp
%TEMP%\rarsfx0\rwe\read.bat
%TEMP%\rarsfx0\rwe\dd.exe
%TEMP%\rarsfx0\rwe\1\dmp.exe
%TEMP%\rarsfx0\rwe\1\apic.bin
%TEMP%\rarsfx0\rwe\1\digitalproductid.bin
%TEMP%\rarsfx0\rwe\1\dsdt.bin
%TEMP%\rarsfx0\rwe\1\facp.bin
%TEMP%\rarsfx0\rwe\1\hpet.bin
%TEMP%\rarsfx0\rwe\1\hpqoem.0.xrm-ms
%TEMP%\rarsfx0\rwe\1\lowmem.1.bin
%TEMP%\rarsfx0\rwe\1\lowmem.2.bin
%TEMP%\rarsfx0\rwe\1\pcmp.bin
%TEMP%\rarsfx0\rwe\1\pkey.txt
%TEMP%\rarsfx0\rwe\1\slic.bin
%TEMP%\rarsfx0\rwe\1\smbios.bin
%TEMP%\rarsfx0\rwe\1\ssdt.bin
%TEMP%\rarsfx0\slic.bin
%TEMP%\rarsfx0\re.rar

Перемещает следующие файлы

%TEMP%\rarsfx0\rwe\re.rar в %TEMP%\rarsfx0\re.rar
%TEMP%\rarsfx0\11.12.82.1838\error.log в %TEMP%\rarsfx0\read_11.12.82.1838.error.log
%TEMP%\rarsfx0\11.8.80.3762\error.log в %TEMP%\rarsfx0\read_11.8.80.3762.error.log
%TEMP%\rarsfx0\11.11.50.1466\error.log в %TEMP%\rarsfx0\read_11.11.50.1466.error.log
%TEMP%\rarsfx0\10.0.60.3000\error.log в %TEMP%\rarsfx0\read_10.0.60.3000.error.log
%TEMP%\rarsfx0\8.1.60.1561\error.log в %TEMP%\rarsfx0\read_8.1.60.1561.error.log
%TEMP%\rarsfx0\9.5.40.1868\error.log в %TEMP%\rarsfx0\read_9.5.40.1868.error.log
%TEMP%\rarsfx0\4.0.26.1337\error.log в %TEMP%\rarsfx0\read_4.0.26.1337.error.log
%TEMP%\rarsfx0\3.1.70.2340\error.log в %TEMP%\rarsfx0\read_3.1.70.2340.error.log
%TEMP%\rarsfx0\2.0.5.3112\error.log в %TEMP%\rarsfx0\read_2.0.5.3112.error.log
%TEMP%\rarsfx0\1.1.5.1162\error.log в %TEMP%\rarsfx0\read_1.1.5.1162.error.log
%TEMP%\rarsfx0\results20.rar в %HOMEPATH%\desktop\results20.rar

Подменяет следующие файлы

%TEMP%\rarsfx0\results20.rar

Другое

Ищет следующие окна

ClassName: 'EDIT' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\rarsfx0\m1.exe'
'%TEMP%\rarsfx0\11.11.50.1466\fptw64.exe' -i
'%TEMP%\rarsfx0\11.11.50.1466\fptw64.exe' -bios -d bios-region.bin
'%TEMP%\rarsfx0\10.0.60.3000\fptw.exe' -i
'%TEMP%\rarsfx0\10.0.60.3000\fptw.exe' -bios -d bios-region.bin
'%TEMP%\rarsfx0\8.1.60.1561\fptw.exe' -i
'%TEMP%\rarsfx0\8.1.60.1561\fptw.exe' -bios -d bios-region.bin
'%TEMP%\rarsfx0\9.5.40.1868\fptw.exe' -i
'%TEMP%\rarsfx0\9.5.40.1868\fptw.exe' -bios -d bios-region.bin
'%TEMP%\rarsfx0\4.0.26.1337\fptw64.exe' -i
'%TEMP%\rarsfx0\14.5.25.1229\fptw64.exe' -i
'%TEMP%\rarsfx0\4.0.26.1337\fptw64.exe' -bios -d bios-region.bin
'%TEMP%\rarsfx0\3.1.70.2340\fptw64.exe' -bios -d bios-region.bin
'%TEMP%\rarsfx0\2.0.5.3112\fptw64.exe' -i
'%TEMP%\rarsfx0\2.0.5.3112\fptw64.exe' -bios -d bios-region.bin
'%TEMP%\rarsfx0\1.1.5.1162\fptw64.exe' -i
'%TEMP%\rarsfx0\1.1.5.1162\fptw64.exe' -bios -d bios-region.bin
'%TEMP%\rarsfx0\rar.exe' a results20.rar re.rar
'%TEMP%\rarsfx0\rar.exe' a results20.rar SLIC.bin
'%TEMP%\rarsfx0\rar.exe' a results20.rar info.txt
'%TEMP%\rarsfx0\rar.exe' a results20.rar fpt-info.txt
'%TEMP%\rarsfx0\11.8.80.3762\fptw64.exe' -i
'%TEMP%\rarsfx0\11.8.80.3762\fptw64.exe' -bios -d bios-region.bin
'%TEMP%\rarsfx0\11.12.82.1838\fptw64.exe' -bios -d bios-region.bin
'%TEMP%\rarsfx0\11.12.82.1838\fptw64.exe' -i
'%TEMP%\rarsfx0\12.0.70.1652\fptw64.exe' -bios -d bios-region.bin
'%TEMP%\rarsfx0\rwe\dd.exe'
'%TEMP%\rarsfx0\rwe\1\dmp.exe'
'%TEMP%\rarsfx0\rar.exe' m -hp123 -ma4 RW.dmp 1\*.* -x*.exe
'%TEMP%\rarsfx0\rar.exe' a RE.rar *.rw *.dmp
'%TEMP%\rarsfx0\devconw64.exe' listclass net
'%TEMP%\rarsfx0\amidevw64.exe' /dms ConfigV.dms
'%TEMP%\rarsfx0\skhot.exe' /capture=2 /convert=result0.png
'%TEMP%\rarsfx0\afuvw64.exe' w64_AFUBAK5.ROM /O
'%TEMP%\rarsfx0\15.0.21.1549\fptw64.exe' -i
'%TEMP%\rarsfx0\rar.exe' a results20.rar read_1.1.5.1162.error.log
'%TEMP%\rarsfx0\3.1.70.2340\fptw64.exe' -i
'%TEMP%\rarsfx0\15.0.21.1549\fptw64.exe' -bios -d bios-region.bin
'%TEMP%\rarsfx0\14.0.47.1500\fptw64.exe' -i
'%TEMP%\rarsfx0\14.0.47.1500\fptw64.exe' -bios -d bios-region.bin
'%TEMP%\rarsfx0\13.30.0.1065\fptw64.exe' -i
'%TEMP%\rarsfx0\13.30.0.1065\fptw64.exe' -bios -d bios-region.bin
'%TEMP%\rarsfx0\13.0.37.1556\fptw64.exe' -i
'%TEMP%\rarsfx0\13.0.37.1556\fptw64.exe' -bios -d bios-region.bin
'%TEMP%\rarsfx0\13.0.20.1312\fptw64.exe' -i
'%TEMP%\rarsfx0\13.0.20.1312\fptw64.exe' -bios -d bios-region.bin
'%TEMP%\rarsfx0\12.0.70.1652\fptw64.exe' -i
'%TEMP%\rarsfx0\acpidump.exe' -s
'%TEMP%\rarsfx0\14.5.25.1229\fptw64.exe' -bios -d bios-region.bin
'%TEMP%\rarsfx0\rar.exe' a results20.rar result0.png

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\RarSFX0\START.BAT" "
'%WINDIR%\syswow64\chcp.com' 1252
'%WINDIR%\syswow64\net.exe' FILE
'%WINDIR%\syswow64\net1.exe' FILE
'%WINDIR%\syswow64\chcp.com' 850
'%WINDIR%\syswow64\cmd.exe' /c reg query "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion" /v "ProductName"
'%WINDIR%\syswow64\reg.exe' query "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion" /v "ProductName"
'%WINDIR%\syswow64\cmd.exe' /c reg query "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion" /v "BuildLab"
'%WINDIR%\syswow64\reg.exe' query "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion" /v "BuildLab"
'%WINDIR%\syswow64\chcp.com' 1251
'%WINDIR%\syswow64\cmd.exe' /c reg query "hkey_current_user\software\microsoft\windows\currentversion\explorer\shell folders" /v desktop
'%WINDIR%\syswow64\reg.exe' query "hkey_current_user\software\microsoft\windows\currentversion\explorer\shell folders" /v desktop
'%WINDIR%\syswow64\chcp.com' 866

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней