Trojan.Siggen13.48638

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'PnPUnattendk' = '"%APPDATA%\PnPUnattend\PnPUnattendk.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'makecadsdb' = '"%APPDATA%\makecab\makecadsdb.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'makecab' = '"%APPDATA%\makecab\makecab.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'convhghdsdsggerffdffdjnjdsfdfdfdgdfgt' = '"%APPDATA%\convert\convhghdsdsggerffdffdjnjdsfdfdfdgdfgt.exe"'

Создает или изменяет следующие файлы

Вредоносные функции

Внедряет код в

следующие системные процессы:

Ищет ветки реестра, отвечающие за хранение паролей сторонними программами

Читает файлы, отвечающие за хранение паролей сторонними программами

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\pnpunattend\pnpunattendk.exe
%TEMP%\b03d.tmp
%TEMP%\b05e.tmp
%TEMP%\b08d.tmp
%TEMP%\b09e.tmp
%TEMP%\b13b.tmp
%TEMP%\b14c.tmp
%TEMP%\aeb5.tmp-shm
%TEMP%\aec6.tmp
%TEMP%\b16c.tmp
%TEMP%\b18e.tmp
%TEMP%\b19f.tmp
%TEMP%\b1a0.tmp
%TEMP%\b1c0.tmp
%TEMP%\b1c0.tmp-shm
%APPDATA%\makecab\makecab.exe
%TEMP%\b17c.tmp
%TEMP%\b18d.tmp
%TEMP%\aeb5.tmp
%LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
%TEMP%\d8e6.tmp
%APPDATA%\hatusit
%APPDATA%\wcjiatr
%TEMP%\6b02.exe
%TEMP%\6f27.exe
%TEMP%\8132.exe
%TEMP%\847d.exe
%TEMP%\<Имя файла>.exe
%TEMP%\87d8.exe
%TEMP%\912c.exe
%APPDATA%\makecab\makecadsdb.exe
%TEMP%\regasm.exe
%TEMP%\9571.exe
%TEMP%\9b6b.exe
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
%TEMP%\_otmyqrrwo.vbs
%TEMP%\installutil.exe
%APPDATA%\convert\convhghdsdsggerffdffdjnjdsfdfdfdgdfgt.exe

Присваивает атрибут 'скрытый' для следующих файлов

Удаляет следующие файлы

Сетевая активность

Подключается к

TCP

Запросы HTTP GET

Запросы HTTP POST

Другие

UDP

Другое

Создает и запускает на исполнение

'%TEMP%\<Имя файла>.exe'
'%TEMP%\6b02.exe'
'%TEMP%\6f27.exe'
'%TEMP%\8132.exe'
'%TEMP%\847d.exe'
'%TEMP%\87d8.exe'
'%TEMP%\912c.exe'
'%WINDIR%\syswow64\wscript.exe' "%TEMP%\_Otmyqrrwo.vbs"
'%TEMP%\regasm.exe'
'%TEMP%\9571.exe'
'%TEMP%\9b6b.exe'
'%TEMP%\installutil.exe'
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath C:\,'%APPDATA%\makecab\makecadsdb.exe'' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath C:\,'%APPDATA%\makecab\makecadsdb.exe'
'%WINDIR%\syswow64\explorer.exe'
'%WINDIR%\explorer.exe'