Trojan.Siggen21.11765

Техническая информация

Вредоносные функции

Внедряет код в

следующие системные процессы:

%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe

Ищет ветки реестра, отвечающие за хранение паролей сторонними программами

[HKCU\Software\Google\Google Talk\Accounts]
[HKLM\SOFTWARE\Wow6432Node\PowerQuest\PartitionMagic\8.0\UserInfo]
[HKLM\SOFTWARE\PowerQuest\PartitionMagic\8.0\UserInfo]
[HKLM\SOFTWARE\Wow6432Node\TechSmith\Camtasia Studio\4.0]
[HKLM\SOFTWARE\TechSmith\Camtasia Studio\4.0]
[HKCU\Software\TechSmith\SnagIt\8]
[HKLM\SOFTWARE\Wow6432Node\TechSmith\SnagIt\8]
[HKLM\SOFTWARE\TechSmith\SnagIt\8]
[HKCU\Software\RIT\The Bat!]
[HKLM\SOFTWARE\Wow6432Node\TuneUp\Utilities\6.0]
[HKLM\SOFTWARE\TuneUp\Utilities\6.0]
[HKLM\SOFTWARE\Wow6432Node\TuneUp\Utilities\8.0]
[HKLM\SOFTWARE\TuneUp\Utilities\8.0]
[HKLM\SOFTWARE\Wow6432Node\Nullsoft\Winamp]
[HKLM\SOFTWARE\Nullsoft\Winamp]
[HKCU\Software\Microsoft\Windows Live Mail]
[HKLM\SOFTWARE\O&O\O&O Defrag\8.0\Pro\licenses]
[HKCU\Software\Microsoft\Office\Outlook\OMI Account Manager\Accounts]
[HKLM\SOFTWARE\Wow6432Node\O&O\O&O Defrag\8.0\Pro\licenses]
[HKLM\SOFTWARE\Wow6432Node\Macromedia\Flash\7\Registration]
[HKCU\Software\America Online\aim6\Passwords]
[HKCU\Software\Yahoo\pager]
[HKCU\Software\Paltalk]
[HKCU\Software\IMVU\username]
[HKCU\Software\IMVU\password]
[HKLM\SOFTWARE\Wow6432Node\Adobe\Photoshop\7.0\Registration]
[HKLM\SOFTWARE\Wow6432Node\CyberLink\PowerProducer\3.0\UserReg]
[HKLM\SOFTWARE\Wow6432Node\Elcom\Advanced PDF Password Recovery\Registration]
[HKLM\SOFTWARE\Elcom\Advanced PDF Password Recovery\Registration]
[HKLM\SOFTWARE\Wow6432Node\Elcom\Advanced ZIP Password Recovery\Registration]
[HKLM\SOFTWARE\Elcom\Advanced ZIP Password Recovery\Registration]
[HKLM\SOFTWARE\Wow6432Node\Macromedia\Dreamweaver\7\Registration]
[HKLM\SOFTWARE\Macromedia\Dreamweaver\7\Registration]
[HKLM\SOFTWARE\Wow6432Node\Macromedia\Fireworks\7\Registration]
[HKLM\SOFTWARE\Macromedia\Fireworks\7\Registration]
[HKLM\SOFTWARE\Macromedia\Flash\7\Registration]
[HKCU\Software\Microsoft\Internet Account Manager\Accounts]

Читает файлы, отвечающие за хранение паролей сторонними программами

%APPDATA%\thunderbird\profiles.ini

Изменения в файловой системе

Создает следующие файлы

%ALLUSERSPROFILE%\jhgsrm.folder
%TEMP%\w5.dat
%TEMP%\sx_win_bin.tmp
%TEMP%\f3.dat
%TEMP%\b1.dat
%TEMP%\login data
%TEMP%\i4.dat
%ProgramFiles%\ma47ialo
%ProgramFiles%\jhgsrm.backup
%ALLUSERSPROFILE%\jhgsrm.au3
%TEMP%\aute9a5.tmp
%ALLUSERSPROFILE%\jhgsrm
%TEMP%\aute8f8.tmp
%ALLUSERSPROFILE%\jhgsrm.exe
%TEMP%\aute899.tmp
%ALLUSERSPROFILE%\jhgsrm.path
%TEMP%\d6.dat
%TEMP%\m2.dat

Удаляет следующие файлы

%TEMP%\aute899.tmp
%TEMP%\aute8f8.tmp
%TEMP%\aute9a5.tmp
%ALLUSERSPROFILE%\jhgsrm.folder
%ALLUSERSPROFILE%\jhgsrm.path
%TEMP%\login data
%TEMP%\sx_win_bin.tmp
%TEMP%\b1.dat
%TEMP%\m2.dat
%TEMP%\i4.dat
%TEMP%\f3.dat
%TEMP%\w5.dat
%TEMP%\d6.dat

Подменяет следующие файлы

%ALLUSERSPROFILE%\jhgsrm.folder
%ALLUSERSPROFILE%\jhgsrm.path

Сетевая активность

Подключается к

'ic###azip.com':80

TCP

Запросы HTTP GET

http://ic###azip.com/

UDP

DNS ASK ic###azip.com
DNS ASK 6b###tmvds.cf

Другое

Создает и запускает на исполнение

'%ALLUSERSPROFILE%\jhgsrm.exe' %ALLUSERSPROFILE%\jhGsrM.au3
'%ALLUSERSPROFILE%\jhgsrm.exe' %ALLUSERSPROFILE%\jhGsrM.au3' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' -f %TEMP%\b1.dat' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' -f %TEMP%\i4.dat' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' -f %TEMP%\m2.dat' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' -f %TEMP%\f3.dat' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' -f %TEMP%\w5.dat' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' -f %TEMP%\d6.dat' (со скрытым окном)

Запускает на исполнение