Trojan.Siggen17.38134

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

Заражает следующие исполняемые файлы

Создает следующие файлы на съемном носителе

Вредоносные функции

Читает файлы, отвечающие за хранение паролей сторонними программами

Изменения в файловой системе

Создает следующие файлы

Удаляет следующие файлы

Перемещает следующие файлы

%TEMP%\rcxc229.tmp в %TEMP%\tmpbcc9.tmp.exe
%TEMP%\rcxc2d5.tmp в %TEMP%\tmpbcc9.tmp.exe
%TEMP%\rcxc334.tmp в %TEMP%\tmpbcc9.tmp.exe
C:\rcxc450.tmp в %HOMEPATH%\desktop\file_p_00000000_1371597592.exe
C:\rcxc4ce.tmp в %HOMEPATH%\desktop\file_p_00000000_1371597592.exe
%HOMEPATH%\desktop\file_p_00000000_1371597592.exe в %HOMEPATH%\desktop\file_p_00000000_1371597592-aqi‮xcod.scr
C:\rcxc5da.tmp в %HOMEPATH%\desktop\hadac_newsletter_july_2010_final.exe
C:\rcxc658.tmp в %HOMEPATH%\desktop\hadac_newsletter_july_2010_final.exe
%HOMEPATH%\desktop\hadac_newsletter_july_2010_final.exe в %HOMEPATH%\desktop\hadac_newsletter_july_2010_final-pja‮xcod.scr
C:\rcxc773.tmp в %HOMEPATH%\desktop\issi2013_template_for_posters.exe
C:\rcxc85e.tmp в %HOMEPATH%\desktop\issi2013_template_for_posters.exe
%HOMEPATH%\desktop\issi2013_template_for_posters.exe в %HOMEPATH%\desktop\issi2013_template_for_posters-bsb‮xcod.scr
%TEMP%\rcxc99a.tmp в %TEMP%\tmpc8dc.tmp.exe
%TEMP%\rcxcc3a.tmp в %TEMP%\tmpc8dc.tmp.exe
%TEMP%\rcxcc99.tmp в %TEMP%\tmpc8dc.tmp.exe

Изменяет следующие файлы

Подменяет следующие файлы

Сетевая активность

Подключается к

TCP

Запросы HTTP GET

http://c.###nlink.golf/sa/w.exe
http://ja####.oracle.com/webapps/download/GetFile/1.7.0_75-b13/windows-i586/Java3BillDevices_en.jpg
http://ja####-esd.sun.com/update/1.7.0/sp-1.7.0_75-b13/java_sp.dll
http://c.###nlink.golf/sa/c.exe

Другие

UDP

Другое

Создает и запускает на исполнение

'%TEMP%\jre-7u75-windows-i586-iftw.exe'
'%TEMP%\tmpea0a.tmp.exe'
'%LOCALAPPDATA%\servicehub\tmpea0a.tmp.exe'
'%TEMP%\c.exe'
'%LOCALAPPDATA%\servicehub\c.exe'
'%WINDIR%\syswow64\cmd.exe' /C chcp 65001 && ping 127.0.0.1 && schtasks /create /tn "tmpEA0A.tmp" /sc MINUTE /tr "%LOCALAPPDATA%\ServiceHub\tmpEA0A.tmp.exe" /rl HIGHEST /f && DEL /F /S /Q /A "%TEMP%\tmpEA0A.tmp.exe" &&STA...' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /C chcp 65001 && ping 127.0.0.1 && schtasks /create /tn "c" /sc MINUTE /tr "%LOCALAPPDATA%\ServiceHub\c.exe" /rl HIGHEST /f && DEL /F /S /Q /A "%TEMP%\c.exe" &&START "" "%LOCALAPPDATA%\ServiceH...' (со скрытым окном)
'%LOCALAPPDATA%\servicehub\tmpea0a.tmp.exe' ' (со скрытым окном)
'%LOCALAPPDATA%\servicehub\c.exe' ' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /C chcp 65001 && ping 127.0.0.1 && schtasks /create /tn "tmpEA0A.tmp" /sc MINUTE /tr "%LOCALAPPDATA%\ServiceHub\tmpEA0A.tmp.exe" /rl HIGHEST /f && DEL /F /S /Q /A "%TEMP%\tmpEA0A.tmp.exe" &&STA...
'%WINDIR%\syswow64\chcp.com' 65001
'%WINDIR%\syswow64\ping.exe' 127.0.0.1
'%WINDIR%\syswow64\schtasks.exe' /create /tn "tmpEA0A.tmp" /sc MINUTE /tr "%LOCALAPPDATA%\ServiceHub\tmpEA0A.tmp.exe" /rl HIGHEST /f
'%WINDIR%\syswow64\cmd.exe' /C chcp 65001 && ping 127.0.0.1 && schtasks /create /tn "c" /sc MINUTE /tr "%LOCALAPPDATA%\ServiceHub\c.exe" /rl HIGHEST /f && DEL /F /S /Q /A "%TEMP%\c.exe" &&START "" "%LOCALAPPDATA%\ServiceH...
'<SYSTEM32>\taskeng.exe' {9E43F706-4E71-4672-BE4F-9184F9AF3745} S-1-5-21-1960123792-2022915161-3775307078-1001:taqtezaxfgnu\user:Interactive:[1]
'%WINDIR%\syswow64\schtasks.exe' /create /tn "c" /sc MINUTE /tr "%LOCALAPPDATA%\ServiceHub\c.exe" /rl HIGHEST /f