Trojan.Siggen21.47311

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKCU\Software\Classes\Virtual.Machine.VMC\shell\open\command] '' = '"%ProgramFiles(x86)%\Microsoft Virtual PC\Virtual PC.exe" -startvm "%1"'

Устанавливает следующие настройки сервисов

[HKLM\System\CurrentControlSet\Services\VPCNetS2] 'ImagePath' = 'system32\DRIVERS\VMNetSrv.sys'

Создает следующие сервисы

'VPCNetS2' system32\DRIVERS\VMNetSrv.sys

Изменения в файловой системе

Создает следующие файлы

%TEMP%\7zipsfx.000\setup.exe
%ProgramFiles(x86)%\microsoft virtual pc\documentation\spanish\readme.htm
%ProgramFiles(x86)%\microsoft virtual pc\spanish.dict
%ProgramFiles(x86)%\microsoft virtual pc\utility\vmnetsrv\x64\vmnetsrv.dll
%ProgramFiles(x86)%\microsoft virtual pc\utility\vmnetsrv\x64\vmnetsrv.inf
%ProgramFiles(x86)%\microsoft virtual pc\utility\vmnetsrv\x64\vmnetsrv.sys
%ProgramFiles(x86)%\microsoft virtual pc\utility\vmnetsrv\x64\vmnetsrm.inf
%ProgramFiles(x86)%\microsoft virtual pc\utility\vmnetsrv\x64\vmnetsrv.cat
%ProgramFiles(x86)%\microsoft virtual pc\virtual pc.exe
%ProgramFiles(x86)%\microsoft virtual pc\vpchelper.exe
%APPDATA%\microsoft\installer\{8a7caa24-7b23-410b-a7c3-f994b0944160}\vpc.ico
%APPDATA%\microsoft\windows\start menu\programs\microsoft virtual pc.lnk
%WINDIR%\inf\oem0.pnf
%TEMP%\{4971c9ab-733a-2a00-9ea1-be5a1236bf2e}\set23d5.tmp
%WINDIR%\inf\oem3.pnf
%TEMP%\{4971c9ab-733a-2a00-9ea1-be5a1236bf2e}\set24a1.tmp
%TEMP%\{4971c9ab-733a-2a00-9ea1-be5a1236bf2e}\set253e.tmp
%TEMP%\{4971c9ab-733a-2a00-9ea1-be5a1236bf2e}\set25cb.tmp
<SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\oem2.cat
%WINDIR%\inf\oem2.pnf
<SYSTEM32>\set5da9.tmp
<DRIVERS>\set5dc9.tmp
%WINDIR%\temp\udd61de.tmp
%WINDIR%\inf\msdri.pnf
%TEMP%\{77dfc320-af42-25be-abf9-323707c1837e}\sete6f8.tmp
%TEMP%\{77dfc320-af42-25be-abf9-323707c1837e}\sete7a5.tmp
<SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\oem3.cat
%ProgramFiles(x86)%\microsoft virtual pc\documentation\spanish\vpc.chm
%WINDIR%\inf\oem1.pnf
%ProgramFiles(x86)%\microsoft virtual pc\vpcshexh.dll
%ProgramFiles(x86)%\microsoft virtual pc\3082\dwintl.dll
%TEMP%\virtual_pc_2007_install.msi
%TEMP%\msxml6-kb927977-enu-x86.exe
D:\81a29aa4a3af1e869ebc\msxml6.msi
D:\81a29aa4a3af1e869ebc\$shtdwn$.req
%TEMP%\vpcinstalllog.txt
%ProgramFiles(x86)%\microsoft virtual pc\virtual machine additions\vmadditions.iso
%ProgramFiles(x86)%\microsoft virtual pc\1033\dwintl.dll
%ProgramFiles(x86)%\microsoft virtual pc\dw15.exe
%ProgramFiles(x86)%\microsoft virtual pc\1036\dwintl.dll
%ProgramFiles(x86)%\microsoft virtual pc\1031\dwintl.dll
%ProgramFiles(x86)%\microsoft virtual pc\1040\dwintl.dll
%ProgramFiles(x86)%\microsoft virtual pc\1041\dwintl.dll
%ProgramFiles(x86)%\microsoft virtual pc\documentation\english\vpc.chm
%ProgramFiles(x86)%\microsoft virtual pc\japanese.dict
%ProgramFiles(x86)%\microsoft virtual pc\documentation\english\readme.htm
%ProgramFiles(x86)%\microsoft virtual pc\documentation\french\vpc.chm
%ProgramFiles(x86)%\microsoft virtual pc\documentation\french\readme.htm
%ProgramFiles(x86)%\microsoft virtual pc\french.dict
%ProgramFiles(x86)%\microsoft virtual pc\documentation\german\vpc.chm
%ProgramFiles(x86)%\microsoft virtual pc\documentation\german\readme.htm
%ProgramFiles(x86)%\microsoft virtual pc\german.dict
%ProgramFiles(x86)%\microsoft virtual pc\documentation\italian\vpc.chm
%ProgramFiles(x86)%\microsoft virtual pc\documentation\italian\readme.htm
%ProgramFiles(x86)%\microsoft virtual pc\italian.dict
%ProgramFiles(x86)%\microsoft virtual pc\documentation\japanese\vpc.chm
%ProgramFiles(x86)%\microsoft virtual pc\documentation\japanese\readme.htm
%ProgramFiles(x86)%\microsoft virtual pc\virtual machine additions\virtual disk precompactor.iso
%WINDIR%\temp\fwtsqmfile01.sqm

Присваивает атрибут 'скрытый' для следующих файлов

<SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\oem2.cat
<SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\oem3.cat

Удаляет следующие файлы

D:\81a29aa4a3af1e869ebc\msxml6.msi
%TEMP%\7zipsfx.000\setup.exe
%TEMP%\{4971c9ab-733a-2a00-9ea1-be5a1236bf2e}\vmnetsrv.cat
%TEMP%\{4971c9ab-733a-2a00-9ea1-be5a1236bf2e}\vmnetsrv.dll
%TEMP%\{4971c9ab-733a-2a00-9ea1-be5a1236bf2e}\vmnetsrv.inf
%TEMP%\{4971c9ab-733a-2a00-9ea1-be5a1236bf2e}\vmnetsrv.sys
%WINDIR%\temp\udd61de.tmp
%TEMP%\{77dfc320-af42-25be-abf9-323707c1837e}\vmnetsrm.inf
%TEMP%\{77dfc320-af42-25be-abf9-323707c1837e}\vmnetsrv.cat

Перемещает следующие файлы

%TEMP%\{4971c9ab-733a-2a00-9ea1-be5a1236bf2e}\set23d5.tmp в %TEMP%\{4971c9ab-733a-2a00-9ea1-be5a1236bf2e}\vmnetsrv.cat
%TEMP%\{4971c9ab-733a-2a00-9ea1-be5a1236bf2e}\set24a1.tmp в %TEMP%\{4971c9ab-733a-2a00-9ea1-be5a1236bf2e}\vmnetsrv.dll
%TEMP%\{4971c9ab-733a-2a00-9ea1-be5a1236bf2e}\set253e.tmp в %TEMP%\{4971c9ab-733a-2a00-9ea1-be5a1236bf2e}\vmnetsrv.inf
%TEMP%\{4971c9ab-733a-2a00-9ea1-be5a1236bf2e}\set25cb.tmp в %TEMP%\{4971c9ab-733a-2a00-9ea1-be5a1236bf2e}\vmnetsrv.sys
<SYSTEM32>\set5da9.tmp в <SYSTEM32>\vmnetsrv.dll
<DRIVERS>\set5dc9.tmp в <DRIVERS>\vmnetsrv.sys
%TEMP%\{77dfc320-af42-25be-abf9-323707c1837e}\sete6f8.tmp в %TEMP%\{77dfc320-af42-25be-abf9-323707c1837e}\vmnetsrm.inf
%TEMP%\{77dfc320-af42-25be-abf9-323707c1837e}\sete7a5.tmp в %TEMP%\{77dfc320-af42-25be-abf9-323707c1837e}\vmnetsrv.cat

Изменяет следующие файлы

Сетевая активность

UDP

'localhost':60682
'localhost':50310
'localhost':50363

Другое

Создает и запускает на исполнение

'%TEMP%\7zipsfx.000\setup.exe' /v /qn
'%TEMP%\msxml6-kb927977-enu-x86.exe' /Q

Запускает на исполнение

'%WINDIR%\syswow64\msiexec.exe' /i d:\81a29aa4a3af1e869ebc\msxml6.msi /Q
'%WINDIR%\syswow64\msiexec.exe' /i "%TEMP%\Virtual_PC_2007_Install.msi" /qn /L*v "%TEMP%\VPCInstallLog.txt" MSIRESTARTMANAGERCONTROL=Disable