Trojan.Siggen17.36995

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'lsass' = '"%ALLUSERSPROFILE%\Application Data\lsass.exe"'
[<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'taskhost' = '"C:\Documents and Settings\taskhost.exe"'
[<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'dwm' = '"C:\totalcmd\LANGUAGE\dwm.exe"'
[<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'smss' = '"%ALLUSERSPROFILE%\Adobe\Setup\{AC76BA86-7AD7-1033-7B44-AC0F074E4100}\smss.exe"'
[<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'smss' = '"<SYSTEM32>\api-ms-win-crt-heap-l1-1-0\smss.exe"'
[<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'winlogon' = '"<SYSTEM32>\NlsData0022\winlogon.exe"'

Создает или изменяет следующие файлы

Изменения в файловой системе

Создает следующие файлы

%ALLUSERSPROFILE%\application data\lsass.exe
%TEMP%\xapxjo7q8w
<SYSTEM32>\nlsdata0022\rcxad07.tmp
<SYSTEM32>\api-ms-win-crt-heap-l1-1-0\rcxaa57.tmp
%ALLUSERSPROFILE%\adobe\setup\{ac76ba86-7ad7-1033-7b44-ac0f074e4100}\rcxa7a8.tmp
C:\totalcmd\language\rcxa4f8.tmp
C:\documents and settings\rcxa249.tmp
%ALLUSERSPROFILE%\application data\rcx9fb9.tmp
<Текущая директория>\rcx9d67.tmp
<SYSTEM32>\nlsdata0022\cc11b995f2a76d
<SYSTEM32>\nlsdata0022\winlogon.exe
<SYSTEM32>\api-ms-win-crt-heap-l1-1-0\69ddcba757bf72
<SYSTEM32>\api-ms-win-crt-heap-l1-1-0\smss.exe
%ALLUSERSPROFILE%\adobe\setup\{ac76ba86-7ad7-1033-7b44-ac0f074e4100}\69ddcba757bf72
%ALLUSERSPROFILE%\adobe\setup\{ac76ba86-7ad7-1033-7b44-ac0f074e4100}\smss.exe
C:\totalcmd\language\6cb0b6c459d5d3
C:\totalcmd\language\dwm.exe
C:\documents and settings\b75386f1303e64
C:\documents and settings\taskhost.exe
%ALLUSERSPROFILE%\application data\6203df4a6bafc7
%TEMP%\19tb8jiclr.bat
nul

Присваивает атрибут 'скрытый' для следующих файлов

Удаляет следующие файлы

Перемещает следующие файлы

%ALLUSERSPROFILE%\application data\rcx9fb9.tmp в %ALLUSERSPROFILE%\application data\lsass.exe
C:\documents and settings\rcxa249.tmp в C:\documents and settings\taskhost.exe
C:\totalcmd\language\rcxa4f8.tmp в C:\totalcmd\language\dwm.exe
%ALLUSERSPROFILE%\adobe\setup\{ac76ba86-7ad7-1033-7b44-ac0f074e4100}\rcxa7a8.tmp в %ALLUSERSPROFILE%\adobe\setup\{ac76ba86-7ad7-1033-7b44-ac0f074e4100}\smss.exe
<SYSTEM32>\api-ms-win-crt-heap-l1-1-0\rcxaa57.tmp в <SYSTEM32>\api-ms-win-crt-heap-l1-1-0\smss.exe
<SYSTEM32>\nlsdata0022\rcxad07.tmp в <SYSTEM32>\nlsdata0022\winlogon.exe

Сетевая активность

Подключается к

TCP

Запросы HTTP GET

http://62.##3.118.176/5Vmdatalife/DefaulttoGeovideo/windowsImage/windowsprovider7/6php3/3phpPipe/Image6VmDefault/flowercentral/BigloadCdn/Serverlongpoll/DbtrafficProtect4/0/_/Poll2tempjavascrip...

UDP

Другое

Создает и запускает на исполнение

Запускает на исполнение

'<SYSTEM32>\schtasks.exe' /create /tn "lsass" /sc ONLOGON /tr "'%ALLUSERSPROFILE%\Application Data\lsass.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "taskhost" /sc ONLOGON /tr "'C:\Documents and Settings\taskhost.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "dwm" /sc ONLOGON /tr "'C:\totalcmd\LANGUAGE\dwm.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "smss" /sc ONLOGON /tr "'%ALLUSERSPROFILE%\Adobe\Setup\{AC76BA86-7AD7-1033-7B44-AC0F074E4100}\smss.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "smss" /sc ONLOGON /tr "'<SYSTEM32>\api-ms-win-crt-heap-l1-1-0\smss.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "winlogon" /sc ONLOGON /tr "'<SYSTEM32>\NlsData0022\winlogon.exe'" /rl HIGHEST /f
'<SYSTEM32>\cmd.exe' /C "%TEMP%\19tb8JiCLr.bat"
'<SYSTEM32>\w32tm.exe' /stripchart /computer:localhost /period:5 /dataonly /samples:2