Trojan.Siggen18.56261

Техническая информация

Изменения в файловой системе

Создает следующие файлы

%TEMP%\nsybbc1.tmp
%TEMP%\{5d6d59fa-1f63-3344-f997-216698ace46d}\set400c.tmp
%TEMP%\nsybbc2.tmp\nse2e7.tmp
%TEMP%\nsybbc2.tmp\nsd9f1.tmp
%TEMP%\nsybbc2.tmp\nsd158.tmp
%ProgramFiles(x86)%\vone\topsecsv\svvniccleaner.exe
%WINDIR%\syswow64\topvdev-x64.cat
%WINDIR%\syswow64\topvdev-x64.inf
%WINDIR%\syswow64\topvdev-x64.sys
%WINDIR%\syswow64\checkversion.dll
%ProgramFiles(x86)%\vone\topsecsv\instdrv64.exe
%TEMP%\{5d6d59fa-1f63-3344-f997-216698ace46d}\set40d7.tmp
%ProgramFiles(x86)%\vone\topsecsv\topvdev-x64.cat
%ProgramFiles(x86)%\vone\topsecsv\topvdev-x64.sys
%TEMP%\nsybbc2.tmp\nsc630.tmp
%WINDIR%\syswow64\instdrv64.exe
%TEMP%\nsybbc2.tmp\nsc268.tmp
%TEMP%\nsybbc2.tmp\killproc.dll
%TEMP%\nsybbc2.tmp\nsbc11.tmp
%TEMP%\nsybbc2.tmp\nsexec.dll
%ProgramFiles(x86)%\vone\topsecsv\sendnaquitmsg.exe
%ProgramFiles(x86)%\vone\topsecsv\svclientnaversion.ini
%TEMP%\nsybbc2.tmp\system.dll
%ProgramFiles(x86)%\vone\topsecsv\topvdev-x64.inf
%TEMP%\{5d6d59fa-1f63-3344-f997-216698ace46d}\set41a3.tmp

Удаляет следующие файлы

%TEMP%\nsybbc2.tmp\nsbc11.tmp
%TEMP%\nsybbc2.tmp\nsc268.tmp
%TEMP%\nsybbc2.tmp\nsc630.tmp
%TEMP%\nsybbc2.tmp\nsd158.tmp
%TEMP%\nsybbc2.tmp\nsd9f1.tmp

Перемещает следующие файлы

%WINDIR%\syswow64\instdrv64.exe в %WINDIR%\syswow64\instdrv.exe
%ProgramFiles(x86)%\vone\topsecsv\topvdev-x64.sys в %ProgramFiles(x86)%\vone\topsecsv\topvdev.sys
%ProgramFiles(x86)%\vone\topsecsv\topvdev-x64.inf в %ProgramFiles(x86)%\vone\topsecsv\topvdev.inf
%ProgramFiles(x86)%\vone\topsecsv\topvdev-x64.cat в %ProgramFiles(x86)%\vone\topsecsv\topvdev.cat
%ProgramFiles(x86)%\vone\topsecsv\instdrv64.exe в %ProgramFiles(x86)%\vone\topsecsv\instdrv.exe
%WINDIR%\syswow64\topvdev-x64.sys в %WINDIR%\syswow64\topvdev.sys
%WINDIR%\syswow64\topvdev-x64.inf в %WINDIR%\syswow64\topvdev.inf
%WINDIR%\syswow64\topvdev-x64.cat в %WINDIR%\syswow64\topvdev.cat
%TEMP%\{5d6d59fa-1f63-3344-f997-216698ace46d}\set400c.tmp в %TEMP%\{5d6d59fa-1f63-3344-f997-216698ace46d}\topvdev.cat
%TEMP%\{5d6d59fa-1f63-3344-f997-216698ace46d}\set40d7.tmp в %TEMP%\{5d6d59fa-1f63-3344-f997-216698ace46d}\topvdev.inf
%TEMP%\{5d6d59fa-1f63-3344-f997-216698ace46d}\set41a3.tmp в %TEMP%\{5d6d59fa-1f63-3344-f997-216698ace46d}\topvdev.sys

Подменяет следующие файлы

%WINDIR%\syswow64\instdrv64.exe

Сетевая активность

Подключается к

'microsoft.com':80

TCP

Запросы HTTP GET

http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt

UDP

DNS ASK microsoft.com
'localhost':35972

Другое

Ищет следующие окна

ClassName: '' WindowName: 'SSL VPN Client'

Создает и запускает на исполнение

'%TEMP%\nsybbc2.tmp\nsbc11.tmp' "%ProgramFiles(x86)%\VONE\TopSecSV\SendNAQuitMsg.exe" -closeAX
'%ProgramFiles(x86)%\vone\topsecsv\svvniccleaner.exe' -clean005vnic
'%TEMP%\nsybbc2.tmp\nse2e7.tmp' %WINDIR%\sysWOW64\instdrv.exe install %WINDIR%\sysWOW64\Topvdev.inf *TOPSEC_VNIC
'%TEMP%\nsybbc2.tmp\nsd9f1.tmp' "%ProgramFiles(x86)%\VONE\TopSecSV\SVVnicCleaner.exe" -clean006vnic
'%WINDIR%\syswow64\instdrv.exe' -hwids *TOPSEC_VNIC
'%TEMP%\nsybbc2.tmp\nsc268.tmp' "%WINDIR%\sysWOW64\instdrv.exe" remove *TOPSEC_VNIC
'%ProgramFiles(x86)%\vone\topsecsv\svvniccleaner.exe' -clean006vnic
'%WINDIR%\syswow64\instdrv.exe' install %WINDIR%\sysWOW64\Topvdev.inf *TOPSEC_VNIC
'%TEMP%\nsybbc2.tmp\nsc630.tmp' "%WINDIR%\sysWOW64\instdrv.exe" remove *TOPSEC_VNIC
'%ProgramFiles(x86)%\vone\topsecsv\sendnaquitmsg.exe' -closeAX
'%WINDIR%\syswow64\instdrv.exe' remove *TOPSEC_VNIC
'%TEMP%\nsybbc2.tmp\nsd158.tmp' "%ProgramFiles(x86)%\VONE\TopSecSV\SVVnicCleaner.exe" -clean005vnic
'%TEMP%\nsybbc2.tmp\nsd9f1.tmp' "%ProgramFiles(x86)%\VONE\TopSecSV\SVVnicCleaner.exe" -clean006vnic' (со скрытым окном)
'%TEMP%\nsybbc2.tmp\nsbc11.tmp' "%ProgramFiles(x86)%\VONE\TopSecSV\SendNAQuitMsg.exe" -closeAX' (со скрытым окном)
'%TEMP%\nsybbc2.tmp\nsc630.tmp' "%WINDIR%\sysWOW64\instdrv.exe" remove *TOPSEC_VNIC' (со скрытым окном)
'%TEMP%\nsybbc2.tmp\nse2e7.tmp' %WINDIR%\sysWOW64\instdrv.exe install %WINDIR%\sysWOW64\Topvdev.inf *TOPSEC_VNIC' (со скрытым окном)
'%TEMP%\nsybbc2.tmp\nsc268.tmp' "%WINDIR%\sysWOW64\instdrv.exe" remove *TOPSEC_VNIC' (со скрытым окном)
'%WINDIR%\syswow64\instdrv.exe' -hwids *TOPSEC_VNIC' (со скрытым окном)
'%TEMP%\nsybbc2.tmp\nsd158.tmp' "%ProgramFiles(x86)%\VONE\TopSecSV\SVVnicCleaner.exe" -clean005vnic' (со скрытым окном)