Trojan.Siggen18.14947

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[<HKLM>\System\CurrentControlSet\Services\wuauserv] 'Start' = '00000002'

Вредоносные функции

Завершает или пытается завершить

следующие системные процессы:

%WINDIR%\syswow64\cscript.exe

Изменения в файловой системе

Создает следующие файлы

%ALLUSERSPROFILE%\asr8settings\s3.txt
%ALLUSERSPROFILE%\microsoft\windows\wer\reportqueue\noncritical_7.5.7601.17514_bed6abccf7a3ed55ea36f28ff2e41d77ae5c54ef_cab_0b45189e\report.wer
%WINDIR%\temp\outofprocreport1381395.txt
%WINDIR%\softwaredistribution\wuredir\9482f4b4-e343-43b6-b170-9a65bc822c77\wuredir.cab.bak
%WINDIR%\softwaredistribution\wuredir\7971f918-a847-4430-9279-4a52d1efe18d\wuredir.cab
%WINDIR%\softwaredistribution\wuredir\7971f918-a847-4430-9279-4a52d1efe18d\v6-legacy-muredir.cab
%WINDIR%\softwaredistribution\wuredir\9482f4b4-e343-43b6-b170-9a65bc822c77\wuredir.cab
%WINDIR%\softwaredistribution\wuredir\9482f4b4-e343-43b6-b170-9a65bc822c77\muv4wuredir.cab
%WINDIR%\softwaredistribution\authcabs\7971f918-a847-4430-9279-4a52d1efe18d\authcab.cab
%WINDIR%\softwaredistribution\authcabs\downloaded\7971f918-a847-4430-9279-4a52d1efe18d.auth.cab.extracted\authorization-inner.cab
%WINDIR%\softwaredistribution\authcabs\downloaded\7971f918-a847-4430-9279-4a52d1efe18d.auth.cab.extracted\authorization.xml
%WINDIR%\temp\outofprocreport1386798.txt
%WINDIR%\softwaredistribution\authcabs\authcab.cab
%WINDIR%\softwaredistribution\authcabs\redir\9482f4b4-e343-43b6-b170-9a65bc822c77\muv4wuredir.cab
%TEMP%\asmsupd1317303.vbs
%ALLUSERSPROFILE%\asr8settings\e.txt
%ALLUSERSPROFILE%\asr8settings\res2.db-wal
%ALLUSERSPROFILE%\asr8settings\res2.db-shm
%ALLUSERSPROFILE%\asr8settings\res2.db
%ALLUSERSPROFILE%\asr8settings\res2.db-journal
%ALLUSERSPROFILE%\asr8settings\s.xml
%ALLUSERSPROFILE%\asr8settings\st.db
%ALLUSERSPROFILE%\asr8settings\st.db-journal
%WINDIR%\softwaredistribution\authcabs\redir\9482f4b4-e343-43b6-b170-9a65bc822c77\wuredir.cab
%ALLUSERSPROFILE%\microsoft\windows\wer\reportqueue\noncritical_7.5.7601.17514_f5cd445b1dfc1c5779c1b1174e5da85951337_cab_02812bd0\report.wer

Удаляет следующие файлы

%ALLUSERSPROFILE%\asr8settings\st.db-journal
%ALLUSERSPROFILE%\asr8settings\res2.db-journal
%WINDIR%\softwaredistribution\authcabs\downloaded\7971f918-a847-4430-9279-4a52d1efe18d.auth.cab.extracted\authorization-inner.cab
%WINDIR%\softwaredistribution\authcabs\downloaded\7971f918-a847-4430-9279-4a52d1efe18d.auth.cab.extracted\authorization.xml
%WINDIR%\softwaredistribution\download\94802b1b3adeeb4feecfe2afe338b652\cbshandler\state
%WINDIR%\softwaredistribution\download\94802b1b3adeeb4feecfe2afe338b652\windows6.1-kb4019990-x64.cab
%WINDIR%\softwaredistribution\authcabs\authcab.cab
%WINDIR%\softwaredistribution\wuredir\9482f4b4-e343-43b6-b170-9a65bc822c77\wuredir.cab.bak
%WINDIR%\temp\outofprocreport1381395.txt
%WINDIR%\temp\outofprocreport1386798.txt

Подменяет следующие файлы

%ALLUSERSPROFILE%\asr8settings\st.db-journal
%WINDIR%\softwaredistribution\authcabs\authcab.cab
%WINDIR%\softwaredistribution\wuredir\9482f4b4-e343-43b6-b170-9a65bc822c77\wuredir.cab.bak

Сетевая активность

Подключается к

'as###dates.com':80
'microsoft.com':80

TCP

Запросы HTTP GET

http://as###dates.com/splittest/rep.php?te################
http://as###dates.com/supd/s2.xml
http://as###dates.com/app_upgrade/asr.php?a=#############################################
http://as###dates.com/update19/null_redirect1
http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt
http://as###dates.com/wr/view_d3.php?id#####

UDP

DNS ASK as###dates.com
DNS ASK microsoft.com

Другое

Ищет следующие окна

ClassName: '' WindowName: 'Advanced System Repair Pro App'

Создает и запускает на исполнение

'%WINDIR%\syswow64\cscript.exe' //B //T:30 "%TEMP%\asmsupd1317303.vbs"
'%WINDIR%\syswow64\cscript.exe' //B //T:30 "%TEMP%\asmsupd1317303.vbs"' (со скрытым окном)

Запускает на исполнение