Trojan.Siggen20.55303

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует главную загрузочную запись (MBR).

Вредоносные функции

Запускает на исполнение

'<SYSTEM32>\taskkill.exe' /f /im explorer.exe

Завершает или пытается завершить

следующие системные процессы:

%WINDIR%\explorer.exe

Изменения в файловой системе

Создает следующие файлы

<Текущая директория>\8160.bat
<PATH_SAMPLE>3.exe
<Текущая директория>\315319.txt
<Текущая директория>\41652.bat
<Текущая директория>\016781.txt
<Текущая директория>\03539.txt
<PATH_SAMPLE>0.exe
<Текущая директория>\017304.txt
<Текущая директория>\0.bat
<PATH_SAMPLE>6.exe
<PATH_SAMPLE>7.exe
<Текущая директория>\629807.txt
<Текущая директория>\37140.bat
<PATH_SAMPLE>8.exe
<Текущая директория>\721954.txt
<Текущая директория>\229131.bat
<Текущая директория>\88124.txt
<Текущая директория>\88968.bat
<PATH_SAMPLE>1.exe
<Текущая директория>\119395.txt
<Текущая директория>\26910.bat
<Текущая директория>\66325.txt

Другое

Ищет следующие окна

ClassName: '' WindowName: ''

Создает и запускает на исполнение

'<PATH_SAMPLE>1.exe' 1684784977
'<PATH_SAMPLE>8.exe' /autoup 1684784977
'<PATH_SAMPLE>7.exe' /autoup 1684784977
'<PATH_SAMPLE>6.exe' /killMBR 1684784977
'<PATH_SAMPLE>8.exe' /protect 1684784977
'<PATH_SAMPLE>7.exe' /protect 1684784977
'<PATH_SAMPLE>1.exe' /autoup 1684784977
'<PATH_SAMPLE>6.exe' /KillHardDisk 1684784977
'<PATH_SAMPLE>7.exe' /killMBR 1684784977
'<PATH_SAMPLE>8.exe' /killMBR 1684784977
'<PATH_SAMPLE>1.exe' /protect 1684784977
'<PATH_SAMPLE>6.exe' /killwindows 1684784977
'<PATH_SAMPLE>7.exe' /KillHardDisk 1684784977
'<PATH_SAMPLE>8.exe' /KillHardDisk 1684784977
'<PATH_SAMPLE>1.exe' /killMBR 1684784977
'<PATH_SAMPLE>7.exe' /killwindows 1684784977
'<PATH_SAMPLE>8.exe' /killwindows 1684784977
'<PATH_SAMPLE>1.exe' /KillHardDisk 1684784977
'<PATH_SAMPLE>1.exe' /killwindows 1684784977
'<PATH_SAMPLE>3.exe' 1684784977
'<PATH_SAMPLE>0.exe' 1684784977
'<PATH_SAMPLE>6.exe' 1684784977
'<PATH_SAMPLE>7.exe' 1684784977
'<PATH_SAMPLE>8.exe' 1684784977
'<PATH_SAMPLE>6.exe' /protect 1684784977
'<PATH_SAMPLE>6.exe' /autoup 1684784977

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c start <Полный путь к файлу> /protect 1684784977
'<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>8.exe /KillHardDisk 1684784977
'<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>7.exe /KillHardDisk 1684784977
'<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>6.exe /killwindows 1684784977
'<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>1.exe /protect 1684784977
'<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>8.exe /killMBR 1684784977
'<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>7.exe /killMBR 1684784977
'<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>6.exe /KillHardDisk 1684784977
'<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>1.exe /autoup 1684784977
'<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>7.exe /protect 1684784977
'<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>8.exe /protect 1684784977
'<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>6.exe /killMBR 1684784977
'<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>7.exe /autoup 1684784977
'<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>8.exe /autoup 1684784977
'<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>6.exe /protect 1684784977
'<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>6.exe /autoup 1684784977
'<SYSTEM32>\cmd.exe' /c takeown /f <SYSTEM32>\taskmgr.exe
'<SYSTEM32>\takeown.exe' /f <SYSTEM32>\taskmgr.exe
'<SYSTEM32>\cmd.exe' /c del C:\users /r /f
'<SYSTEM32>\cmd.exe' /c mountvol c: /d
'<SYSTEM32>\cmd.exe' /c Cacls <SYSTEM32>\taskmgr.exe /t /e /c /guser:F
'<SYSTEM32>\mountvol.exe' c: /d
'<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>1.exe /killMBR 1684784977
'<SYSTEM32>\cacls.exe' <SYSTEM32>\taskmgr.exe /t /e /c /guser:F
'<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>7.exe /killwindows 1684784977
'<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>1.exe /KillHardDisk 1684784977
'<SYSTEM32>\cmd.exe' /c start <Полный путь к файлу> /save 1684784977
'<SYSTEM32>\cmd.exe' /c copy /b <Полный путь к файлу>+119395.txt <PATH_SAMPLE>1.exe
'<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>1.exe 1684784977
'<SYSTEM32>\cmd.exe' /c copy /b <Полный путь к файлу>+88124.txt <PATH_SAMPLE>8.exe
'<SYSTEM32>\cmd.exe' /c copy /b <Полный путь к файлу>+721954.txt <PATH_SAMPLE>7.exe
'<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>8.exe 1684784977
'<SYSTEM32>\cmd.exe' /c copy /b <Полный путь к файлу>+629807.txt <PATH_SAMPLE>6.exe
'<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>7.exe 1684784977
'<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>6.exe 1684784977
'<SYSTEM32>\cmd.exe' /c taskkill /f /im explorer.exe
'<SYSTEM32>\cmd.exe' /c copy /b <Полный путь к файлу>+017304.txt <PATH_SAMPLE>0.exe
'<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>0.exe 1684784977
'<SYSTEM32>\cmd.exe' /c copy /b <Полный путь к файлу>+03539.txt <PATH_SAMPLE>0.exe
'<SYSTEM32>\cmd.exe' /c copy /b <Полный путь к файлу>+016781.txt <PATH_SAMPLE>0.exe
'<SYSTEM32>\cmd.exe' /c start <Полный путь к файлу> /killwindows 1684784977
'<SYSTEM32>\cmd.exe' /c copy /b <Полный путь к файлу>+315319.txt <PATH_SAMPLE>3.exe
'<SYSTEM32>\cmd.exe' /c start <Полный путь к файлу> /KillHardDisk 1684784977
'<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>3.exe 1684784977
'<SYSTEM32>\cmd.exe' /c start <Полный путь к файлу> /killMBR 1684784977
'<SYSTEM32>\cmd.exe' /c start <Полный путь к файлу> /autoup 1684784977
'<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>1.exe /killwindows 1684784977
'<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>8.exe /killwindows 1684784977
'<SYSTEM32>\cmd.exe' /c copy /b <Полный путь к файлу>+66325.txt <PATH_SAMPLE>6.exe