Trojan.PWS.Siggen1.4201

Техническая информация

Вредоносные функции:

Создает и запускает на исполнение:

'C:\5a60b96264f015490cc5b4\Setup.exe' /x86 /x64 /web
'%APPDATA%\result.exe'
'%APPDATA%\dotNetFx45_Full_setup.exe'

Завершает или пытается завершить

следующие пользовательские процессы:

ICQ.exe

Ищет ветки реестра, отвечающие за хранение паролей сторонними программами:

[<HKLM>\SOFTWARE\FlashFXP]
[<HKCU>\Software\Google\Google Talk\Accounts]
[<HKCU>\Software\Ghisler\Total Commander]
[<HKLM>\Software\Ghisler\Total Commander]
[<HKCU>\Software\FTPWare\CoreFTP\Sites]
[<HKCU>\Software\Martin Prikryl\WinSCP 2\Sessions]
[<HKCU>\Software\Far2\Plugins\FTP\Hosts]
[<HKCU>\Software\Far\Plugins\FTP\Hosts]

Изменения в файловой системе:

Создает следующие файлы:

C:\5a60b96264f015490cc5b4\1049\eula.rtf
C:\5a60b96264f015490cc5b4\2070\eula.rtf
C:\5a60b96264f015490cc5b4\3082\eula.rtf
C:\5a60b96264f015490cc5b4\1055\eula.rtf
C:\5a60b96264f015490cc5b4\1045\eula.rtf
C:\5a60b96264f015490cc5b4\2052\eula.rtf
C:\5a60b96264f015490cc5b4\Setup.exe
C:\5a60b96264f015490cc5b4\1028\SetupResources.dll
C:\5a60b96264f015490cc5b4\1025\SetupResources.dll
C:\5a60b96264f015490cc5b4\1033\SetupResources.dll
C:\5a60b96264f015490cc5b4\SetupUtility.exe
C:\5a60b96264f015490cc5b4\SetupEngine.dll
C:\5a60b96264f015490cc5b4\2052\SetupResources.dll
C:\5a60b96264f015490cc5b4\1046\eula.rtf
C:\5a60b96264f015490cc5b4\1032\eula.rtf
C:\5a60b96264f015490cc5b4\1036\eula.rtf
C:\5a60b96264f015490cc5b4\1037\eula.rtf
C:\5a60b96264f015490cc5b4\1031\eula.rtf
C:\5a60b96264f015490cc5b4\1033\eula.rtf
C:\5a60b96264f015490cc5b4\1035\eula.rtf
C:\5a60b96264f015490cc5b4\1041\eula.rtf
C:\5a60b96264f015490cc5b4\1043\eula.rtf
C:\5a60b96264f015490cc5b4\1044\eula.rtf
C:\5a60b96264f015490cc5b4\1053\eula.rtf
C:\5a60b96264f015490cc5b4\1040\eula.rtf
C:\5a60b96264f015490cc5b4\1038\eula.rtf
C:\5a60b96264f015490cc5b4\1042\eula.rtf
C:\5a60b96264f015490cc5b4\1030\SetupResources.dll
C:\5a60b96264f015490cc5b4\1038\SetupResources.dll
C:\5a60b96264f015490cc5b4\1043\SetupResources.dll
C:\5a60b96264f015490cc5b4\SetupUi.dll
C:\5a60b96264f015490cc5b4\1041\SetupResources.dll
C:\5a60b96264f015490cc5b4\1037\SetupResources.dll
C:\5a60b96264f015490cc5b4\1045\SetupResources.dll
C:\5a60b96264f015490cc5b4\sqmapi.dll
%TEMP%\Setup_20130612_171033671.html
%APPDATA%\ufr_reports\NO_PWDS_report_12-06-2013_17-10-18-F4D651E80A6E4747C8F28A7D8647D810-PCEJ.bin
%TEMP%\Microsoft .NET Framework 4.5 Setup_20130612_171043296.html
%TEMP%\NO_PWDS_report_12-06-2013_17-10-18-F4D651E80A6E4747C8F28A7D8647D810-PCEJ.bin
%TEMP%\HFI2.tmp.html
C:\5a60b96264f015490cc5b4\2070\SetupResources.dll
C:\5a60b96264f015490cc5b4\1031\SetupResources.dll
C:\5a60b96264f015490cc5b4\1036\SetupResources.dll
C:\5a60b96264f015490cc5b4\3082\SetupResources.dll
C:\5a60b96264f015490cc5b4\1029\SetupResources.dll
C:\5a60b96264f015490cc5b4\1035\SetupResources.dll
C:\5a60b96264f015490cc5b4\1040\SetupResources.dll
C:\5a60b96264f015490cc5b4\1032\SetupResources.dll
C:\5a60b96264f015490cc5b4\1055\SetupResources.dll
C:\5a60b96264f015490cc5b4\1046\SetupResources.dll
C:\5a60b96264f015490cc5b4\1049\SetupResources.dll
C:\5a60b96264f015490cc5b4\1042\SetupResources.dll
C:\5a60b96264f015490cc5b4\1044\SetupResources.dll
C:\5a60b96264f015490cc5b4\1053\SetupResources.dll
C:\5a60b96264f015490cc5b4\1025\eula.rtf
C:\5a60b96264f015490cc5b4\Graphics\Save.ico
C:\5a60b96264f015490cc5b4\Graphics\Setup.ico
C:\5a60b96264f015490cc5b4\Graphics\stop.ico
C:\5a60b96264f015490cc5b4\Graphics\Rotate6.ico
C:\5a60b96264f015490cc5b4\Graphics\Rotate7.ico
C:\5a60b96264f015490cc5b4\Graphics\Rotate8.ico
C:\5a60b96264f015490cc5b4\Graphics\SysReqMet.ico
C:\5a60b96264f015490cc5b4\1025\LocalizedData.xml
C:\5a60b96264f015490cc5b4\2052\LocalizedData.xml
C:\5a60b96264f015490cc5b4\1028\LocalizedData.xml
C:\5a60b96264f015490cc5b4\Graphics\SysReqNotMet.ico
C:\5a60b96264f015490cc5b4\Graphics\warn.ico
C:\5a60b96264f015490cc5b4\1033\LocalizedData.xml
C:\5a60b96264f015490cc5b4\Graphics\Rotate5.ico
%TEMP%\report_12-06-2013_17-10-18-F4D651E80A6E4747C8F28A7D8647D810-PCEJ.bin
C:\5a60b96264f015490cc5b4\header.bmp
C:\5a60b96264f015490cc5b4\SplashScreen.bmp
%APPDATA%\dotNetFx45_Full_setup.exe
%APPDATA%\result.exe
%TEMP%\dd_dotNetFx45_Full_setup_decompression_log.txt
C:\5a60b96264f015490cc5b4\watermark.bmp
C:\5a60b96264f015490cc5b4\Graphics\Rotate2.ico
C:\5a60b96264f015490cc5b4\Graphics\Rotate3.ico
C:\5a60b96264f015490cc5b4\Graphics\Rotate4.ico
C:\5a60b96264f015490cc5b4\DisplayIcon.ico
C:\5a60b96264f015490cc5b4\Graphics\Print.ico
C:\5a60b96264f015490cc5b4\Graphics\Rotate1.ico
C:\5a60b96264f015490cc5b4\1029\LocalizedData.xml
C:\5a60b96264f015490cc5b4\1053\LocalizedData.xml
C:\5a60b96264f015490cc5b4\1055\LocalizedData.xml
C:\5a60b96264f015490cc5b4\ParameterInfo.xml
C:\5a60b96264f015490cc5b4\1046\LocalizedData.xml
C:\5a60b96264f015490cc5b4\2070\LocalizedData.xml
C:\5a60b96264f015490cc5b4\1049\LocalizedData.xml
C:\5a60b96264f015490cc5b4\Strings.xml
C:\5a60b96264f015490cc5b4\1030\eula.rtf
C:\5a60b96264f015490cc5b4\1029\eula.rtf
C:\5a60b96264f015490cc5b4\1028\eula.rtf
C:\5a60b96264f015490cc5b4\UiInfo.xml
C:\5a60b96264f015490cc5b4\SetupUi.xsd
C:\5a60b96264f015490cc5b4\DHtmlHeader.html
C:\5a60b96264f015490cc5b4\1045\LocalizedData.xml
C:\5a60b96264f015490cc5b4\3082\LocalizedData.xml
C:\5a60b96264f015490cc5b4\1035\LocalizedData.xml
C:\5a60b96264f015490cc5b4\1036\LocalizedData.xml
C:\5a60b96264f015490cc5b4\1030\LocalizedData.xml
C:\5a60b96264f015490cc5b4\1031\LocalizedData.xml
C:\5a60b96264f015490cc5b4\1032\LocalizedData.xml
C:\5a60b96264f015490cc5b4\1037\LocalizedData.xml
C:\5a60b96264f015490cc5b4\1042\LocalizedData.xml
C:\5a60b96264f015490cc5b4\1043\LocalizedData.xml
C:\5a60b96264f015490cc5b4\1044\LocalizedData.xml
C:\5a60b96264f015490cc5b4\1038\LocalizedData.xml
C:\5a60b96264f015490cc5b4\1040\LocalizedData.xml
C:\5a60b96264f015490cc5b4\1041\LocalizedData.xml

Удаляет следующие файлы:

%TEMP%\NO_PWDS_report_12-06-2013_17-10-18-F4D651E80A6E4747C8F28A7D8647D810-PCEJ.bin

Перемещает следующие файлы:

%TEMP%\Setup_20130612_171033671.html в %TEMP%\Microsoft .NET Framework 4.5 Setup_20130612_171043296.html
%TEMP%\HFI2.tmp.html в %TEMP%\Setup_20130612_171033671.html
%TEMP%\report_12-06-2013_17-10-18-F4D651E80A6E4747C8F28A7D8647D810-PCEJ.bin в %TEMP%\NO_PWDS_report_12-06-2013_17-10-18-F4D651E80A6E4747C8F28A7D8647D810-PCEJ.bin

Сетевая активность:

Подключается к: