Trojan.Siggen19.59149

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '<Имя файла>' = '%APPDATA%\<Имя файла>.exe'

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\<Имя файла>
%APPDATA%\microsoft\windows\start menu\programs\startup\<Имя файла>.lnk

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\svchost.exe
<Имя диска съемного носителя>:\ituneshelpunavailable.html.lnk
<Имя диска съемного носителя>:\iisstart.htm.lnk
<Имя диска съемного носителя>:\trivial-merge.htm.lnk
<Имя диска съемного носителя>:\alert.htm.lnk
<Имя диска съемного носителя>:\garden.htm.lnk
<Имя диска съемного носителя>:\dotnetfx45_full_setup.exe.lnk
<Имя диска съемного носителя>:\tcm851ax32.exe.lnk
<Имя диска съемного носителя>:\calc.exe.lnk
<Имя диска съемного носителя>:\chromesetup.exe.lnk
<Имя диска съемного носителя>:\wrar520.exe.lnk
<Имя диска съемного носителя>:\notepad.exe.lnk
<Имя диска съемного носителя>:\file_p_00000000_1371597592.docx.lnk
<Имя диска съемного носителя>:\aoc_saq_d_v3_merchant.docx.lnk
<Имя диска съемного носителя>:\nwfieldnotes1966.docx.lnk
<Имя диска съемного носителя>:\glidescope_review_rev_010.docx.lnk
<Имя диска съемного носителя>:\hadac_newsletter_july_2010_final.docx.lnk
<Имя диска съемного носителя>:\cveuropeo.doc.lnk
<Имя диска съемного носителя>:\uep_form_786_bulletin_1726i602.doc.lnk
<Имя диска съемного носителя>:\hanni_umami_chapter.doc.lnk
<Имя диска съемного носителя>:\508softwareandos.doc.lnk
<Имя диска съемного носителя>:\weeklysheet1215.doc.lnk
<Имя диска съемного носителя>:\ovp25012015.doc.lnk
<Имя диска съемного носителя>:\contoso.cer.lnk
<Имя диска съемного носителя>:\tileimage.bmp.lnk
<Имя диска съемного носителя>:\dashborder_96.bmp.lnk
<Имя диска съемного носителя>:\coffee.bmp.lnk
<Имя диска съемного носителя>:\toolbar.bmp.lnk
<Имя диска съемного носителя>:\join.avi.lnk
<Имя диска съемного носителя>:\correct.avi.lnk
<Имя диска съемного носителя>:\about.html.lnk
<Имя диска съемного носителя>:\howto-index.html.lnk

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\<Имя файла>.exe

Присваивает атрибут 'скрытый' для следующих файлов

<Имя диска съемного носителя>:\svchost.exe

Удаляет следующие файлы

%APPDATA%\<Имя файла>.exe

Подменяет следующие файлы

%APPDATA%\<Имя файла>.exe

Сетевая активность

UDP

DNS ASK ip##pi.com
DNS ASK 4.###.eu.ngrok.io

Другое

Создает и запускает на исполнение

'<SYSTEM32>\schtasks.exe' /create /f /RL HIGHEST /sc minute /mo 1 /tn "<Имя файла>" /tr "%APPDATA%\<Имя файла>.exe"' (со скрытым окном)
'%APPDATA%\<Имя файла>.exe' ' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\schtasks.exe' /create /f /RL HIGHEST /sc minute /mo 1 /tn "<Имя файла>" /tr "%APPDATA%\<Имя файла>.exe"
'<SYSTEM32>\taskeng.exe' {B5E075B4-93E6-480F-A316-474D68978F8C} S-1-5-21-1960123792-2022915161-3775307078-1001:qblbinam\user:Interactive:[1]