Trojan.Siggen21.33274

Техническая информация

Вредоносные функции

Запускает на исполнение

'<SYSTEM32>\netsh.exe' firewall add allowedprogram "%TEMP%\Drvceo\Res\Xunlei\download\MiniThunderPlatform.exe" 迅雷云加速开放平台 ENABLE

Изменения в файловой системе

Создает следующие файлы

%TEMP%\drvceo\res\dism.7z
%TEMP%\drvceo\res\xunlei\download\dl_peer_id.dll
%TEMP%\drvceo\res\xunlei\download\download_engine.dll
%TEMP%\drvceo\res\xunlei\download\minizip.dll
%TEMP%\drvceo\res\xunlei\download\msvcp71.dll
%TEMP%\drvceo\res\xunlei\download\msvcr71.dll
%TEMP%\drvceo\res\sczipx64.dll
%TEMP%\drvceo\res\sczipx86.dll
%TEMP%\drvceo\res\xunlei\download\xlbughandler.dll
%TEMP%\drvceo\res\xunlei\xldl.dll
%TEMP%\drvceo\res\xunlei\download\zlib1.dll
%WINDIR%\temp\~drvceolog\drvceorun23.0929.log
%TEMP%\ntdll.dll
%TEMP%\drvceo\win7x64\drvceo.tmp
%WINDIR%\temp\~drvceolog\pchwids.log
%TEMP%\drvceo\win7x64\online2.scindex
%TEMP%\drvceo\win7x64\netmfset.dc
%WINDIR%\temp\~drvceolog\noinindex.log
%WINDIR%\dctempdata.drvceo
%WINDIR%\temp\~drvceolog\noinsys.log
%WINDIR%\temp\~drvceolog\pchighdrv.log
%WINDIR%\temp\~drvceolog\install23.0929.log
C:\drvpath\rundebug.temp
%ALLUSERSPROFILE%\thunder network\downloadlib\pub_store.dat
C:\users\public\thunder network\mini_downloadlib\odawmda1mdi=\version_3_2_1_46\profiles\error.dat
C:\users\public\thunder network\mini_downloadlib\odawmda1mdi=\version_3_2_1_46\profiles\asyn_frame.dat
%TEMP%\drvceo\res\dkbcax86.dll
C:\users\public\thunder network\mini_downloadlib\odawmda1mdi=\version_3_2_1_46\profiles\download.cfg
%TEMP%\drvceo\res\dgupsx86.dll
%TEMP%\drvceo\res\xunlei\download\atl71.dll
%TEMP%\drvceo\res\id_load.gif
%TEMP%\drvceo\res\download.png
%TEMP%\drvceo\res\id_error.png
%TEMP%\drvceo\res\id_ok.png
%TEMP%\drvceo\res\nodrv.png
%TEMP%\drvceo\res\cmdline\zh_cn.txt
%TEMP%\drvceo\res\config.ini
%TEMP%\drvceo\drvceo.ini
%TEMP%\drvceo\res\languages\zh_cn.ini
%TEMP%\drvceo\res\uvcon.cfg
%TEMP%\drvceo\res\xunlei\download\ca-certificates.crt
%TEMP%\drvceo\res\xunlei\download\id.dat
%TEMP%\drvceo\res\dcinst.res
%TEMP%\drvceo\res\dcsys.res
%TEMP%\drvceo\res\xunlei\download\aria2c.exe
%TEMP%\drvceo\res\xunlei\download\aria2c_nt5.exe
%TEMP%\drvceo\res\dcappletool.exe
%TEMP%\drvceo\res\dccounter.exe
%TEMP%\drvceo\res\dcfunx64.exe
%TEMP%\drvceo\res\dcidrvx64.exe
%TEMP%\drvceo\res\dcupdate.exe
%TEMP%\drvceo\drvceo.exe
%TEMP%\drvceo\res\xunlei\download\minithunderplatform.exe
%TEMP%\drvceo\res\xunlei\download\xlbugreport.exe
%TEMP%\drvceo\res\7zx86.dll
%TEMP%\drvceo\res\dcsuefix86.dll
C:\users\public\thunder network\cid_store.dat

Удаляет следующие файлы

%TEMP%\drvceo\win7x64\drvceo.tmp
C:\drvpath\rundebug.temp

Сетевая активность

Подключается к

'to####.sejai.com':80
'hm.##idu.com':443
'co#.#ysceo.cn':80
'dr####up.drvceo.com':80
'hu###.hz.sandai.net':80
'pm##.#z.sandai.net':80
'hu####.hz.sandai.net':80
'localhost':80
'12#.#38.144.4':8312
'hu#####.shub.hz.sandai.net':80
'hu#####.hz.sandai.net':80

TCP

Запросы HTTP GET

http://to####.sejai.com/drvceo_uninstall.html
http://co#.#ysceo.cn/Win7x64/Online2.ScIndex?09##########
http://co#.#ysceo.cn/Win7x64/Netmfset.dc?09##########
http://dr####up.drvceo.com/Server/Win7x64/Network/Lan/Intel/Network.Lan.Intel.VM20080923.7z
http://12#.##8.144.4:8312/Server/Win7x64/Network/Lan/Intel/Network.Lan.Intel.VM20080923.7z via 12#.#38.144.4

Запросы HTTP POST

http://11#.##.218.40:80/
http://11#.##2.219.22:80/
http://11#.##.218.154:80/

Другие

'hm.##idu.com':443

UDP

DNS ASK to####.sejai.com
DNS ASK hm.##idu.com
DNS ASK co#.#ysceo.cn
DNS ASK dr####up.drvceo.com
DNS ASK hu####.hz.sandai.net
DNS ASK hu#####.hz.sandai.net
DNS ASK hu###.hz.sandai.net
DNS ASK pm##.#z.sandai.net
DNS ASK re###.##ub.hz.sandai.net
DNS ASK im#####r.hz.sandai.net
DNS ASK sc###.##ub.hz.sandai.net
DNS ASK hu#####.shub.hz.sandai.net
'hu#####.hz.sandai.net':8000

Другое

Ищет следующие окна

ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebCheckMonitor' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\drvceo\drvceo.exe' /n
'%TEMP%\drvceo\res\dccounter.exe' /bd
'%TEMP%\drvceo\res\xunlei\download\minithunderplatform.exe' -StartTP
'<SYSTEM32>\cmd.exe' /c Netsh firewall add allowedprogram "%TEMP%\Drvceo\Res\Xunlei\download\MiniThunderPlatform.exe" 迅雷云加速开放平台 ENABLE' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c del /f /q "C:\DrvPath\Network.Lan.Intel.VM20080923.7z"' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c del /f /q "C:\DrvPath\Network.Lan.Intel.VM20080923.7z.td"' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c del /f /q "C:\DrvPath\Network.Lan.Intel.VM20080923.7z.td.cfg"' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c del /f /q "%TEMP%\Drvceo\Network.Lan.Intel.VM20080923.7z"' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c del /f /q "%TEMP%\Drvceo\Network.Lan.Intel.VM20080923.7z.td"' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c del /f /q "%TEMP%\Drvceo\Network.Lan.Intel.VM20080923.7z.td.cfg"' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c Netsh firewall add allowedprogram "%TEMP%\Drvceo\Res\Xunlei\download\MiniThunderPlatform.exe" 迅雷云加速开放平台 ENABLE
'<SYSTEM32>\cmd.exe' /c del /f /q "C:\DrvPath\Network.Lan.Intel.VM20080923.7z"
'<SYSTEM32>\cmd.exe' /c del /f /q "C:\DrvPath\Network.Lan.Intel.VM20080923.7z.td"
'<SYSTEM32>\cmd.exe' /c del /f /q "C:\DrvPath\Network.Lan.Intel.VM20080923.7z.td.cfg"
'<SYSTEM32>\cmd.exe' /c del /f /q "%TEMP%\Drvceo\Network.Lan.Intel.VM20080923.7z"
'<SYSTEM32>\cmd.exe' /c del /f /q "%TEMP%\Drvceo\Network.Lan.Intel.VM20080923.7z.td"
'<SYSTEM32>\cmd.exe' /c del /f /q "%TEMP%\Drvceo\Network.Lan.Intel.VM20080923.7z.td.cfg"