Trojan.Siggen27.42456

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'DllHost3g' = '%HOMEPATH%\Local Settings\Application Data\Microsoft\dllhst3g.exe'
[HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'Microsoft Connection Manager' = '<DRIVERS>\cmstp.exe'
[HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'Microsoft Connection Manager' = '%APPDATA%\cmstp.exe'
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'EseNtUtl' = '%HOMEPATH%\Local Settings\Application Data\Microsoft\esentutl.exe'
[HKCU\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows] 'load' = '%ProgramFiles%\dllhst3g.exe'
[HKCU\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows] 'run' = '%ProgramFiles%\Microsoft Analysis Services\logman.exe'
[HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'DllHost3g' = '%HOMEPATH%\Local Settings\Application Data\Microsoft\Windows\dllhst3g.exe'
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'Microsoft RSVP' = '%HOMEPATH%\Local Settings\Application Data\rsvp.exe'

Изменения в файловой системе

Создает следующие файлы

%TEMP%\twain002.mtx
%HOMEPATH%\local settings\application data\microsoft\windows\rcx61e.tmp
%HOMEPATH%\local settings\application data\microsoft\windows\dllhst3g.exe
%ProgramFiles%\Microsoft Analysis Services\rcxdfb9.tmp
%ProgramFiles%\Microsoft Analysis Services\logman.exe
%ProgramFiles%\rcxdb35.tmp
%ProgramFiles%\dllhst3g.exe
%HOMEPATH%\local settings\application data\rsvp.exe
%HOMEPATH%\local settings\application data\microsoft\rcxd72f.tmp
%APPDATA%\rcxc84f.tmp
%APPDATA%\cmstp.exe
%WINDIR%\syswow64\drivers\rcx9e90.tmp
%WINDIR%\syswow64\drivers\cmstp.exe
%HOMEPATH%\local settings\application data\microsoft\rcx8381.tmp
%HOMEPATH%\local settings\application data\microsoft\dllhst3g.exe
%HOMEPATH%\local settings\application data\microsoft\esentutl.exe
%HOMEPATH%\local settings\application data\rcx9c7.tmp

Перемещает следующие файлы

%HOMEPATH%\local settings\application data\microsoft\rcx8381.tmp в %HOMEPATH%\local settings\application data\microsoft\dllhst3g.exe
%WINDIR%\syswow64\drivers\rcx9e90.tmp в %WINDIR%\syswow64\drivers\cmstp.exe
%APPDATA%\rcxc84f.tmp в %APPDATA%\cmstp.exe
%HOMEPATH%\local settings\application data\microsoft\rcxd72f.tmp в %HOMEPATH%\local settings\application data\microsoft\esentutl.exe
%ProgramFiles%\rcxdb35.tmp в %ProgramFiles%\dllhst3g.exe
%ProgramFiles%\Microsoft Analysis Services\rcxdfb9.tmp в %ProgramFiles%\Microsoft Analysis Services\logman.exe
%HOMEPATH%\local settings\application data\microsoft\windows\rcx61e.tmp в %HOMEPATH%\local settings\application data\microsoft\windows\dllhst3g.exe
%HOMEPATH%\local settings\application data\rcx9c7.tmp в %HOMEPATH%\local settings\application data\rsvp.exe

Сетевая активность

Подключается к

'ms###csi.com':80

TCP

Запросы HTTP GET

http://www.ms###csi.com/ncsi.txt

UDP

DNS ASK ly###s-db.org

Другое

Создает и запускает на исполнение

'%HOMEPATH%\local settings\application data\microsoft\dllhst3g.exe' /c 81
'%HOMEPATH%\local settings\application data\microsoft\dllhst3g.exe' /c 75
'%HOMEPATH%\local settings\application data\microsoft\dllhst3g.exe' /r
'%HOMEPATH%\local settings\application data\rsvp.exe' /c 39
'%HOMEPATH%\local settings\application data\microsoft\dllhst3g.exe' /c 79
'%HOMEPATH%\local settings\application data\microsoft\esentutl.exe' /c 38
'%HOMEPATH%\local settings\application data\rsvp.exe' /c 66
'%HOMEPATH%\local settings\application data\microsoft\windows\dllhst3g.exe' /c 19
'%WINDIR%\syswow64\drivers\cmstp.exe' /c 75
'%APPDATA%\cmstp.exe' /c 23
'%ProgramFiles%\dllhst3g.exe' \c 32
'%ProgramFiles%\dllhst3g.exe' \c 98
'%ProgramFiles%\Microsoft Analysis Services\logman.exe' Analysis Services\logman.exe \c 69
'%HOMEPATH%\local settings\application data\microsoft\esentutl.exe' /c 27
'%APPDATA%\cmstp.exe' /c 13
'%HOMEPATH%\local settings\application data\microsoft\windows\dllhst3g.exe' /c 59
'%WINDIR%\syswow64\drivers\cmstp.exe' /c 47
'%ProgramFiles%\Microsoft Analysis Services\logman.exe' Analysis Services\logman.exe \c 59
'%WINDIR%\syswow64\drivers\cmstp.exe' /c 75' (со скрытым окном)
'%HOMEPATH%\local settings\application data\microsoft\esentutl.exe' /c 38' (со скрытым окном)
'%ProgramFiles%\Microsoft Analysis Services\logman.exe' Analysis Services\logman.exe \c 69' (со скрытым окном)
'%APPDATA%\cmstp.exe' /c 23' (со скрытым окном)
'%HOMEPATH%\local settings\application data\microsoft\windows\dllhst3g.exe' /c 59' (со скрытым окном)
'%HOMEPATH%\local settings\application data\microsoft\dllhst3g.exe' /c 79' (со скрытым окном)
'%HOMEPATH%\local settings\application data\microsoft\dllhst3g.exe' /c 75' (со скрытым окном)
'%ProgramFiles%\dllhst3g.exe' \c 32' (со скрытым окном)
'%ProgramFiles%\dllhst3g.exe' \c 98' (со скрытым окном)
'%HOMEPATH%\local settings\application data\microsoft\windows\dllhst3g.exe' /c 19' (со скрытым окном)
'%ProgramFiles%\Microsoft Analysis Services\logman.exe' Analysis Services\logman.exe \c 59' (со скрытым окном)
'%HOMEPATH%\local settings\application data\microsoft\esentutl.exe' /c 27' (со скрытым окном)
'%APPDATA%\cmstp.exe' /c 13' (со скрытым окном)
'%WINDIR%\syswow64\drivers\cmstp.exe' /c 47' (со скрытым окном)
'%HOMEPATH%\local settings\application data\microsoft\dllhst3g.exe' /c 81' (со скрытым окном)
'%HOMEPATH%\local settings\application data\microsoft\dllhst3g.exe' /r' (со скрытым окном)
'%HOMEPATH%\local settings\application data\rsvp.exe' /c 66' (со скрытым окном)
'%HOMEPATH%\local settings\application data\rsvp.exe' /c 39' (со скрытым окном)