Trojan.Siggen18.32362

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'expIorer' = '%TEMP%\pk\expIorer.exe'

Вредоносные функции

Запускает на исполнение

'%WINDIR%\syswow64\taskkill.exe' /f /im nod32krn.exe
'%WINDIR%\syswow64\taskkill.exe' /f /im MsiExec.exe
'%WINDIR%\syswow64\taskkill.exe' /f /im outpost.exe
'%WINDIR%\syswow64\taskkill.exe' /f /im isafe.exe
'%WINDIR%\syswow64\taskkill.exe' /f /im zapro.exe
'%WINDIR%\syswow64\taskkill.exe' /f /im zauinst.exe
'%WINDIR%\syswow64\taskkill.exe' /f /im UpdClient.exe
'%WINDIR%\syswow64\taskkill.exe' /f /im zlcliente.exe
'%WINDIR%\syswow64\taskkill.exe' /f /im minilog.exe
'%WINDIR%\syswow64\taskkill.exe' /f /im zonealarm.exe
'%WINDIR%\syswow64\taskkill.exe' /f /im zlclient.exe
'%WINDIR%\syswow64\taskkill.exe' /f /im ccapp.exe
'%WINDIR%\syswow64\taskkill.exe' /f /im ccsetmgr.exe
'%WINDIR%\syswow64\taskkill.exe' /f /im ccevtmgr.exe
'%WINDIR%\syswow64\taskkill.exe' /f /im Norton Auto-Protect.exe
'%WINDIR%\syswow64\taskkill.exe' /f /im cccproxy.exe
'%WINDIR%\syswow64\taskkill.exe' /f /im navw32.exe
'%WINDIR%\syswow64\taskkill.exe' /f /im norton.exe
'%WINDIR%\syswow64\taskkill.exe' /f /im mghtml.exe
'%WINDIR%\syswow64\taskkill.exe' /f /im navapsvc.exe
'%WINDIR%\syswow64\taskkill.exe' /f /im mcafee.exe
'%WINDIR%\syswow64\taskkill.exe' /f /im gcasDtServ.exe
'%WINDIR%\syswow64\taskkill.exe' /f /im nod32.exe
'%WINDIR%\syswow64\taskkill.exe' /f /im nod32kui.exe
'%WINDIR%\syswow64\taskkill.exe' /f /im kav.exe
'%WINDIR%\syswow64\taskkill.exe' /f /im kavmm.exe
'%WINDIR%\syswow64\taskkill.exe' /f /im KAVPF.exe
'%WINDIR%\syswow64\taskkill.exe' /f /im avgemc.exe
'%WINDIR%\syswow64\taskkill.exe' /f /im avgcc.exe
'%WINDIR%\syswow64\taskkill.exe' /f /im avgamsvr.exe
'%WINDIR%\syswow64\taskkill.exe' /f /im avgupsvc.exe
'%WINDIR%\syswow64\taskkill.exe' /f /im avgw.exe
'%WINDIR%\syswow64\taskkill.exe' /f /im ashWebSv.exe
'%WINDIR%\syswow64\taskkill.exe' /f /im ashDisp.exe
'%WINDIR%\syswow64\taskkill.exe' /f /im ashmaisv.exe
'%WINDIR%\syswow64\taskkill.exe' /f /im ashserv.exe
'%WINDIR%\syswow64\taskkill.exe' /f /im aswupdsv.exe
'%WINDIR%\syswow64\taskkill.exe' /f /im ewidoctrl.exe
'%WINDIR%\syswow64\taskkill.exe' /f /im guard.exe
'%WINDIR%\syswow64\taskkill.exe' /f /im MsMpEng.exe
'%WINDIR%\syswow64\taskkill.exe' /f /im npfmntor.exe

Устанавливает процедуры перхвата сообщений

о нажатии клавиш клавиатуры:

Библиотека-обработчик для всех процессов: %TEMP%\pk\expIorerhk.dll

оконных сообщений:

Библиотека-обработчик для всех процессов: %TEMP%\pk\expIorerhk.dll

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: 'FilemonClass', WindowName: ''
ClassName: '', WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
ClassName: '', WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'RegmonClass', WindowName: ''
ClassName: '', WindowName: 'Registry Monitor - Sysinternals: www.sysinternals.com'

Изменения в файловой системе

Создает следующие файлы

%TEMP%\528b2pir.bat
%TEMP%\pk\inst.dat
%TEMP%\pk\expiorerwb.dll
%TEMP%\pk\expiorerhk.dll
%TEMP%\pk\expiorer.exe
%TEMP%\pk\pk.bin
%TEMP%\1.exe
%TEMP%\rarsfx0\rinst.exe
%TEMP%\rarsfx0\expiorer.exe
%TEMP%\rarsfx0\1.exe
%TEMP%\pk\rinst.exe
%TEMP%\rarsfx0\expiorerwb.dll
%TEMP%\rarsfx0\inst.dat
%TEMP%\rarsfx0\pk.bin
%WINDIR%\syswow64\exibir.vbs
%TEMP%\3707.tmp\mda.bat
%WINDIR%\syswow64\setup.exe
%WINDIR%\syswow64\csrs.exe
%LOCALAPPDATA%\qb0d2d47.b0\setup.exe
%LOCALAPPDATA%\qb0d2d47.b0\exibir.vbs
%LOCALAPPDATA%\qb0d2d47.b0\csrs.exe
%TEMP%\rarsfx0\expiorerhk.dll
%TEMP%\pk\pk.bin_back

Присваивает атрибут 'скрытый' для следующих файлов

%TEMP%\528b2pir.bat

Удаляет следующие файлы

%TEMP%\528b2pir.bat
%LOCALAPPDATA%\qb0d2d47.b0\csrs.exe
%LOCALAPPDATA%\qb0d2d47.b0\exibir.vbs
%LOCALAPPDATA%\qb0d2d47.b0\setup.exe
%TEMP%\rarsfx0\pk.bin
%TEMP%\rarsfx0\expiorer.exe
%TEMP%\rarsfx0\expiorerhk.dll
%TEMP%\rarsfx0\expiorerwb.dll
%TEMP%\rarsfx0\inst.dat
%TEMP%\rarsfx0\rinst.exe
%TEMP%\pk\pk.bin_back

Перемещает следующие файлы

%TEMP%\pk\rinst.exe в %TEMP%\pk\expiorerr.exe

Сетевая активность

Подключается к

'sm###.bol.com.br':587

TCP

Другие

'sm###.bol.com.br':587

UDP

DNS ASK sm###.bol.com.br

Другое

Ищет следующие окна

ClassName: '' WindowName: ''
ClassName: '18467-41' WindowName: ''
ClassName: '' WindowName: 'PKL Window'
ClassName: 'RichEdit20A' WindowName: ''
ClassName: 'Button' WindowName: 'ICQ'
ClassName: 'MButtonClass' WindowName: ''
ClassName: 'NDDEAgnt' WindowName: 'NetDDE Agent'
ClassName: 'IEFrame' WindowName: ''

Создает и запускает на исполнение

'%WINDIR%\syswow64\csrs.exe'
'%WINDIR%\syswow64\setup.exe'
'%TEMP%\rarsfx0\rinst.exe'
'%TEMP%\1.exe'
'%TEMP%\pk\expiorer.exe'
'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\528B2PIR.bat" "<Полный путь к файлу>" "' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\3707.tmp\mda.bat" "' (со скрытым окном)

Запускает на исполнение