Trojan.Siggen26.62426

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'AntiVirus AntiSpyware 2011' = '"%APPDATA%\AntiVirus AntiSpyware 2011\AntiVirus AntiSpyware.exe" /STARTUP'
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'AntiVirus AntiSpyware 2011 Security' = '%APPDATA%\AntiVirus AntiSpyware 2011\securitymanager.exe'

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует запуск следующих системных утилит:

Межсетевой экран (Брандмауэр Windows)
Обновления системы (Windows Update)
Центр обеспечения безопасности (Security Center)
Системный антивирус (Защитник Windows)

Изменения в файловой системе

Создает следующие файлы

%TEMP%\_e907.tmpac7d.exe
%TEMP%\1iowieoo.exe
%TEMP%\destroyer.exe
%TEMP%\gpupz2a.exe
%TEMP%\cunifuc.exe
%TEMP%\cffd4.exe
%TEMP%\puzpup.exe
%TEMP%\rator.exe
%TEMP%\winifi.exe
%TEMP%\w32rim_mem.exe
%TEMP%\02c9c3c35bdx5.exe
%TEMP%\ljts-23.exe
%TEMP%\d20mes.exe
%TEMP%\g_dx234.exe
%TEMP%\brdss.exe
%TEMP%\alerfa2.exe
%TEMP%\format.exe
%TEMP%\hhbboll_2.exe
%TEMP%\kjdh_gf_jjdhgd.exe
%TEMP%\timem.exe
%TEMP%\fadz43.exe
%TEMP%\warsddd_w.exe
%TEMP%\aqfitrlxi2.exe
%TEMP%\8gmsed-bd.exe
%TEMP%\wrfwe_di.exe
%TEMP%\wrcud12.exe
%TEMP%\wined.exe
%TEMP%\lols.exe
%TEMP%\kjh102k3.exe
%TEMP%\jkfuckfu.exe
%TEMP%\poertd.exe
%TEMP%\cowceb.exe
%APPDATA%\antivirus antispyware 2011\icohelp.ico
%APPDATA%\antivirus antispyware 2011\icouninstall.ico
%APPDATA%\antivirus antispyware 2011\antivirus antispyware.exe
%APPDATA%\antivirus antispyware 2011\securitymanager.exe
%APPDATA%\antivirus antispyware 2011\securityhelper.exe
%APPDATA%\microsoft\windows\start menu\programs\antivirus antispyware 2011.lnk
%HOMEPATH%\desktop\antivirus antispyware 2011.lnk
%APPDATA%\microsoft\windows\start menu\programs\antivirus antispyware 2011\antivirus antispyware 2011.lnk
%APPDATA%\microsoft\windows\start menu\programs\antivirus antispyware 2011\activate antivirus antispyware 2011.lnk
%APPDATA%\microsoft\windows\start menu\programs\antivirus antispyware 2011\how to activate antivirus antispyware 2011.lnk
%APPDATA%\microsoft\windows\start menu\programs\antivirus antispyware 2011\help antivirus antispyware 2011.lnk
%APPDATA%\microsoft\internet explorer\quick launch\antivirus antispyware 2011.lnk
%TEMP%\bzqa43d.exe
%TEMP%\rtfme.exe
%TEMP%\tryh-blv.exe
%TEMP%\wefgetn_00.exe
%TEMP%\protector2.exe
%TEMP%\safe.exe
%TEMP%\ae0965a7157cd.exe
%TEMP%\jofcdks.exe
%TEMP%\kn.a.exe
%TEMP%\hodeme.exe
%TEMP%\hvipws9.exe
%TEMP%\qwedvor.exe
%TEMP%\hiphop.exe
%TEMP%\fe.exe
%TEMP%\ppddfcfux.exxe
%APPDATA%\antivirus antispyware 2011\icoactivate.ico
%TEMP%\wwautrsd.exe
%TEMP%\lkhgg_ea.exe

Удаляет следующие файлы

%TEMP%\_e907.tmpac7d.exe

Сетевая активность

UDP

DNS ASK 17######12.web-htmlinfo.us
DNS ASK 17######22.web-htmlinfo.us
DNS ASK ht#####bhistorysite.us
DNS ASK 17######72.web-htmlinfo.us
DNS ASK 17######82.web-htmlinfo.us
'localhost':63762
'localhost':53415

Другое

Ищет следующие окна

ClassName: '' WindowName: 'AntiVirus AntiSpyware 2011'

Создает и запускает на исполнение

'%TEMP%\_e907.tmpac7d.exe' -p"09:04 PM" -y -o"%APPDATA%\AntiVirus AntiSpyware 2011"
'%APPDATA%\antivirus antispyware 2011\antivirus antispyware.exe'
'%APPDATA%\antivirus antispyware 2011\securitymanager.exe'
'%TEMP%\_e907.tmpac7d.exe' -p"09:04 PM" -y -o"%APPDATA%\AntiVirus AntiSpyware 2011"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /C dir "%APPDATA%"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /C dir "%APPDATA%\AntiVirus AntiSpyware 2011"' (со скрытым окном)

Запускает на исполнение