Trojan.Siggen19.61399

Техническая информация

Вредоносные функции

Запускает на исполнение

'<SYSTEM32>\taskkill.exe' /f /im explorer.exe

Завершает или пытается завершить

следующие системные процессы:

%WINDIR%\explorer.exe
<SYSTEM32>\cmd.exe

Читает файлы, отвечающие за хранение паролей сторонними программами

%HOMEPATH%\desktop\64bit_notes.htm
%HOMEPATH%\desktop\browse.html
%HOMEPATH%\desktop\about.htm
%HOMEPATH%\desktop\howto-index.html
%HOMEPATH%\desktop\garden.htm
%HOMEPATH%\desktop\iisstart.html
%HOMEPATH%\desktop\trivial-merge.htm

Изменения в файловой системе

Создает следующие файлы

%TEMP%\f288.tmp\f289.bat
nul

Удаляет следующие файлы

%TEMP%\f288.tmp\f289.bat

Другое

Ищет следующие окна

ClassName: '' WindowName: ''
ClassName: 'Progman' WindowName: ''
ClassName: 'Proxy Desktop' WindowName: ''
ClassName: 'SystemTray_Main' WindowName: ''

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c "%TEMP%\F288.tmp\F289.bat <Полный путь к файлу>"
'<SYSTEM32>\reg.exe' add "HKCU\SOFTWARE\Microsoft\CTF\LangBar\ItemState\{F29C731A-A51E-49FB-8A3C-EE51952912E2}" /v "DemoteLevel" /t REG_DWORD /d "3" /f
'<SYSTEM32>\reg.exe' add "HKCU\SOFTWARE\Microsoft\CTF\LangBar\ItemState\{F29C731A-A51E-49FB-8A3C-EE51952912E2}" /v "DisableDemoting" /t REG_DWORD /d "0" /f
'<SYSTEM32>\reg.exe' add "HKCU\Control Panel\International\User Profile" /v "Languages" /t REG_MULTI_SZ /d "zh-Hans-CN" /f
'<SYSTEM32>\reg.exe' add "HKCU\Control Panel\International\User Profile" /v "ShowAutoCorrection" /t REG_DWORD /d "0" /f
'<SYSTEM32>\reg.exe' add "HKCU\Control Panel\International\User Profile" /v "ShowTextPrediction" /t REG_DWORD /d "0" /f
'<SYSTEM32>\reg.exe' add "HKCU\Control Panel\International\User Profile" /v "ShowCasing" /t REG_DWORD /d "0" /f
'<SYSTEM32>\reg.exe' add "HKCU\SOFTWARE\Microsoft\CTF\LangBar\ItemState\{E9498EB1-FD35-4A26-A108-57E498F4B6AE}" /v "DemoteLevel" /t REG_DWORD /d "3" /f
'<SYSTEM32>\reg.exe' add "HKCU\SOFTWARE\Microsoft\CTF\LangBar\ItemState\{E9498EB1-FD35-4A26-A108-57E498F4B6AE}" /v "DisableDemoting" /t REG_DWORD /d "0" /f
'<SYSTEM32>\reg.exe' add "HKCU\Control Panel\International\User Profile" /v "ShowShiftLock" /t REG_DWORD /d "0" /f
'<SYSTEM32>\reg.exe' add "HKCU\Control Panel\International\User Profile\zh-Hans-CN" /v "CachedLanguageName" /t REG_SZ /d "@Winlangdb.dll,-1650" /f
'<SYSTEM32>\reg.exe' add "HKCU\Control Panel\International\User Profile\zh-Hans-CN" /v "0804:00000409" /t REG_DWORD /d "1" /f
'<SYSTEM32>\reg.exe' add "HKCU\Control Panel\International\User Profile\zh-Hans-CN" /v "0804:{81D4E9C9-1D3B-41BC-9E6C-4B40BF79E35E}{FA550B04-5AD7-411F-A5AC-CA038EC515D7}" /t REG_DWORD /d "2" /f
'<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\WOW6432Node\Tencent\QQBrowser" /v "SupplyID" /t REG_SZ /d "1260" /f
'<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\WOW6432Node\Tencent\QQBrowser" /v "SubSupplyID" /t REG_SZ /d "244203" /f
'%WINDIR%\explorer.exe'
'<SYSTEM32>\reg.exe' add "HKCU\Control Panel\International\User Profile" /v "HttpAcceptLanguageOptOut" /t REG_DWORD /d "1" /f
'<SYSTEM32>\reg.exe' add "HKCU\Control Panel\International\User Profile" /v "InputMethodOverride" /t REG_SZ /d "0804:00000409" /f
'<SYSTEM32>\reg.exe' add "HKCU\SOFTWARE\Microsoft\CTF\LangBar\ItemState\{C88D77BE-2546-430A-A284-C9915D017728}" /v "DisableDemoting" /t REG_DWORD /d "0" /f
'<SYSTEM32>\reg.exe' add "HKCU\SOFTWARE\Microsoft\CTF\LangBar\ItemState\{C88D77BE-2546-430A-A284-C9915D017728}" /v "DemoteLevel" /t REG_DWORD /d "3" /f
'<SYSTEM32>\reg.exe' add "HKCU\SOFTWARE\Microsoft\CTF\LangBar\ItemState\{89BE500C-9462-4070-9DB0-B467BB071327}" /v "DisableDemoting" /t REG_DWORD /d "0" /f
'<SYSTEM32>\reg.exe' add "HKCU\Keyboard Layout\Preload" /v "1" /t REG_SZ /d "00000804" /f
'<SYSTEM32>\reg.exe' add "HKCU\Keyboard Layout\Preload" /v "2" /t REG_SZ /d "d0010804" /f
'<SYSTEM32>\reg.exe' add "HKCU\Keyboard Layout\Substitutes" /v "00000804" /t REG_SZ /d "00000409" /f
'<SYSTEM32>\reg.exe' add "HKCU\Keyboard Layout\Substitutes" /v "d0010804" /t REG_SZ /d "00000804" /f
'<SYSTEM32>\reg.exe' add "HKCU\Keyboard Layout\Toggle" /f
'<SYSTEM32>\reg.exe' add "HKCU\Control Panel\Desktop" /v "UserPreferencesMask" /t REG_BINARY /d "9e1e078092010000" /f
'<SYSTEM32>\reg.exe' add "HKCU\SOFTWARE\Microsoft\CTF\LangBar" /v "ShowStatus" /t REG_DWORD /d "4" /f
'<SYSTEM32>\reg.exe' delete "HKCU\Keyboard Layout" /f
'<SYSTEM32>\reg.exe' add "HKCU\SOFTWARE\Microsoft\CTF\LangBar" /v "Transparency" /t REG_DWORD /d "255" /f
'<SYSTEM32>\reg.exe' add "HKCU\SOFTWARE\Microsoft\CTF\LangBar" /v "ExtraIconsOnMinimized" /t REG_DWORD /d "1" /f
'<SYSTEM32>\reg.exe' add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\UserAssist\{CEBFF5CD-ACE2-4F4F-9178-9926F41749EA}\Count" /v "HRZR_PGYFRFFVBA" /t REG_BINARY /d "000000005c000000750100002a81e9010f00...
'<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\CTF\LangBar" /v "ExtraIconsOnMinimized" /t REG_DWORD /d "0" /f
'<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\CTF\LangBar\ItemState\{ED9D5450-EBE6-4255-8289-F8A31E687228}" /v "DemoteLevel" /t REG_DWORD /d "3" /f
'<SYSTEM32>\reg.exe' add "HKCU\SOFTWARE\Microsoft\CTF\LangBar\ItemState\{6A11D9DE-46DB-455B-A257-2EB615846BF4}" /v "DemoteLevel" /t REG_DWORD /d "3" /f
'<SYSTEM32>\reg.exe' add "HKCU\SOFTWARE\Microsoft\CTF\LangBar\ItemState\{6A11D9DE-46DB-455B-A257-2EB615846BF4}" /v "DisableDemoting" /t REG_DWORD /d "0" /f
'<SYSTEM32>\reg.exe' add "HKCU\SOFTWARE\Microsoft\CTF\LangBar\ItemState\{89BE500C-9462-4070-9DB0-B467BB071327}" /v "DemoteLevel" /t REG_DWORD /d "3" /f
'<SYSTEM32>\reg.exe' add "HKCU\SOFTWARE\Microsoft\CTF\LangBar" /v "Label" /t REG_DWORD /d "0" /f
'<SYSTEM32>\shutdown.exe' -r -t 10
'<SYSTEM32>\ping.exe' -n 3 127.1