Trojan.Siggen19.15239

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Service' = '%WINDIR%\gg\start.vbs'

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует запуск следующих системных утилит:

изменяет следующие системные настройки:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoRun' = '00000001'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoFind' = '00000001'

Завершает или пытается завершить

следующие системные процессы:

Изменения в файловой системе

Создает следующие файлы

Удаляет следующие файлы

Перемещает следующие файлы

%HOMEPATH%\desktop\timer.deps.json в %WINDIR%\gg\timer.deps.json
%HOMEPATH%\desktop\timer.dll в %WINDIR%\gg\timer.dll
%HOMEPATH%\desktop\timer.exe в %WINDIR%\gg\timer.exe
%HOMEPATH%\desktop\timer.pdb в %WINDIR%\gg\timer.pdb
%HOMEPATH%\desktop\timer.runtimeconfig.dev.json в %WINDIR%\gg\timer.runtimeconfig.dev.json
%HOMEPATH%\desktop\timer.runtimeconfig.json в %WINDIR%\gg\timer.runtimeconfig.json
%HOMEPATH%\desktop\loa.vbs в %WINDIR%\gg\loa.vbs
%HOMEPATH%\desktop\start.vbs в %WINDIR%\gg\start.vbs
%HOMEPATH%\desktop\udf.exe в %WINDIR%\gg\udf.exe
%HOMEPATH%\desktop\loader.exe в %WINDIR%\gg\loader.exe

Другое

Ищет следующие окна

Создает и запускает на исполнение

'%HOMEPATH%\desktop\loader.exe'
'%WINDIR%\gg\timer.exe'
'%WINDIR%\gg\udf.exe'
'<SYSTEM32>\cmd.exe' /c "%TEMP%\C81F.tmp\C820.tmp\C830.bat %HOMEPATH%\Desktop\loader.exe"' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c "%TEMP%\C81F.tmp\C820.tmp\C830.bat %HOMEPATH%\Desktop\loader.exe"
'<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableTaskMgr /t REG_DWORD /d 1 /f
'<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer /v NoRun /t REG_DWORD /d 1 /f
'<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer /v NoFind /t REG_DWORD /d 1 /f
'<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v "Service" /t REG_SZ /d "%WINDIR%\gg\start.vbs" /f
'<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableRegistryTools /t REG_DWORD /d 1 /f
'<SYSTEM32>\shutdown.exe' /r /t 5 /c "?Г†?░?Г‡?░ ???????Г©?╡???░ ?▒?????╡?Г© ???ГЇ???╗???Г§?╡???░ ?Г§?╡???╡?╖ 5 ???╡????????"

Пытается завершить работу операционной системы Windows.