Trojan.Siggen14.59835

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'iexplore' = '"%ProgramFiles(x86)%\Microsoft Visual Studio 8\VSTA\Bin\1033\iexplore.exe"'
[<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'iexplore' = '"%ProgramFiles(x86)%\Internet Explorer\iedvtool\iexplore.exe"'
[<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'iexplore' = '"C:\totalcmd\LANGUAGE\iexplore.exe"'
[<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'System' = '"%ProgramFiles(x86)%\Windows Sidebar\Shared Gadgets\System.exe"'
[<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'wininit' = '"C:\Recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\wininit.exe"'
[<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'smss' = '"%ProgramFiles%\OnAccessInstaller\smss.exe"'

Создает или изменяет следующие файлы

Изменения в файловой системе

Создает следующие файлы

<Текущая директория>\bat.bat
%TEMP%\rqoe6940ii
%ProgramFiles%\onaccessinstaller\69ddcba757bf72f7d36c464c71f42baab150b2b9
%ProgramFiles%\onaccessinstaller\smss.exe
C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\560854153607923c4c5f107085a7db67be01f252
C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\wininit.exe
%ProgramFiles(x86)%\windows sidebar\shared gadgets\27d1bcfc3c54e0e44ea423ffd4ee81fe73670a2a
%ProgramFiles(x86)%\windows sidebar\shared gadgets\system.exe
C:\totalcmd\language\9db6e019d4f04ef534d0f91b3462d805c40e9d20
C:\totalcmd\language\iexplore.exe
%ProgramFiles(x86)%\internet explorer\iedvtool\9db6e019d4f04ef534d0f91b3462d805c40e9d20
%ProgramFiles(x86)%\internet explorer\iedvtool\iexplore.exe
%ProgramFiles(x86)%\microsoft visual studio 8\vsta\bin\1033\9db6e019d4f04ef534d0f91b3462d805c40e9d20
%ProgramFiles(x86)%\microsoft visual studio 8\vsta\bin\1033\iexplore.exe
%TEMP%\rarsfx0\fontdriversavesintoruntimebrokerdhcp.exe
<Текущая директория>\mssstool64-desktop-73smvja.exe
<Текущая директория>\msmpeng.exe
<Текущая директория>\mpcmdrun.exe
<Текущая директория>\ks4.021.3.10.391ru_25000.exe
<Текущая директория>\1234.exe
%TEMP%\2i80lsdv17.bat
nul

Удаляет следующие файлы

Сетевая активность

Подключается к

TCP

Запросы HTTP GET

http://ge####5y.beget.tech/Imageasync.php?BB#####################################################################################################################################################...

UDP

Другое

Ищет следующие окна

Создает и запускает на исполнение

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c ""<Текущая директория>\bat.bat" "
'<SYSTEM32>\schtasks.exe' /create /tn "iexplore" /sc ONLOGON /tr "'%ProgramFiles(x86)%\Microsoft Visual Studio 8\VSTA\Bin\1033\iexplore.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "iexplore" /sc ONLOGON /tr "'%ProgramFiles(x86)%\Internet Explorer\iedvtool\iexplore.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "iexplore" /sc ONLOGON /tr "'C:\totalcmd\LANGUAGE\iexplore.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "System" /sc ONLOGON /tr "'%ProgramFiles(x86)%\Windows Sidebar\Shared Gadgets\System.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "wininit" /sc ONLOGON /tr "'C:\Recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\wininit.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "smss" /sc ONLOGON /tr "'%ProgramFiles%\OnAccessInstaller\smss.exe'" /rl HIGHEST /f
'<SYSTEM32>\cmd.exe' /C "%TEMP%\2i80LSDV17.bat"
'<SYSTEM32>\chcp.com' 65001
'<SYSTEM32>\w32tm.exe' /stripchart /computer:localhost /period:5 /dataonly /samples:2