Trojan.Siggen22.49760

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'winlogon' = '"C:\Recovery\fc7d0508-3f8d-11ed-bf82-c9aa0b5639b5\winlogon.exe"'
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'winlogon' = '"C:\Recovery\fc7d0508-3f8d-11ed-bf82-c9aa0b5639b5\winlogon.exe"'
[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "C:\Recovery\fc7d0508-3f8d-11ed-bf82-c9aa0b5639b5\winlogon.exe"'
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'firefox' = '"<Текущая директория>\firefox.exe"'
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'firefox' = '"<Текущая директория>\firefox.exe"'
[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "C:\Recovery\fc7d0508-3f8d-11ed-bf82-c9aa0b5639b5\winlogon.exe", "<Текущая директория>\firefox.exe"'
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'WUDFHost' = '"%ProgramFiles%\Mozilla Firefox\WUDFHost.exe"'
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'WUDFHost' = '"%ProgramFiles%\Mozilla Firefox\WUDFHost.exe"'
[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "C:\Recovery\fc7d0508-3f8d-11ed-bf82-c9aa0b5639b5\winlogon.exe", "<Текущая директория>\firefox.exe", "%Prog...
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'firefox' = '"%HOMEPATH%\Videos\firefox.exe"'
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'firefox' = '"%HOMEPATH%\Videos\firefox.exe"'
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'iexplore' = '"%WINDIR%\Cursors\iexplore.exe"'
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'iexplore' = '"%WINDIR%\Cursors\iexplore.exe"'

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\winlogon
<SYSTEM32>\tasks\winlogonw
<SYSTEM32>\tasks\firefoxf
<SYSTEM32>\tasks\firefox
<SYSTEM32>\tasks\wudfhost
<SYSTEM32>\tasks\wudfhostw
<SYSTEM32>\tasks\iexplorei
<SYSTEM32>\tasks\iexplore

Изменения в файловой системе

Создает следующие файлы

C:\recovery\fc7d0508-3f8d-11ed-bf82-c9aa0b5639b5\winlogon.exe
%HOMEPATH%\desktop\jwgtaqdh.log
%HOMEPATH%\desktop\igwywbsl.log
%HOMEPATH%\desktop\gwaxwjnk.log
%HOMEPATH%\desktop\ysrimpxd.log
%HOMEPATH%\desktop\wxwmjrxh.log
%HOMEPATH%\desktop\wnxsflcl.log
%HOMEPATH%\desktop\mhljhena.log
%HOMEPATH%\desktop\kmqodfne.log
%HOMEPATH%\desktop\vxnxcwso.log
%HOMEPATH%\desktop\akfwfthd.log
%HOMEPATH%\desktop\ypjabuhg.log
%HOMEPATH%\desktop\yzzfxfwk.log
%HOMEPATH%\desktop\gcyfadgz.log
%HOMEPATH%\desktop\mklahywk.log
%HOMEPATH%\desktop\ttyuntlu.log
%HOMEPATH%\desktop\bapqiirz.log
%HOMEPATH%\desktop\bpqwfcwd.log
%HOMEPATH%\desktop\uluzrxdi.log
%HOMEPATH%\desktop\odhelcox.log
%HOMEPATH%\desktop\wgpuuwde.log
<Текущая директория>\firefox.exe
<Текущая директория>\0fc223bdacedc3
%ProgramFiles%\mozilla firefox\wudfhost.exe
%ProgramFiles%\mozilla firefox\480b7989c529f6
%HOMEPATH%\videos\firefox.exe
%HOMEPATH%\videos\0fc223bdacedc3
%WINDIR%\cursors\iexplore.exe
C:\recovery\fc7d0508-3f8d-11ed-bf82-c9aa0b5639b5\cc11b995f2a76d
%WINDIR%\cursors\9db6e019d4f04e
%TEMP%\c0edpdls.cmdline
%TEMP%\c0edpdls.out
%TEMP%\nlu7fimyec
%TEMP%\q23se9vdi3.bat
nul
%HOMEPATH%\desktop\gpdtmonm.log
%HOMEPATH%\desktop\fkxjeptl.log
%TEMP%\c0edpdls.0.cs
%HOMEPATH%\desktop\kpqedawn.log
%HOMEPATH%\desktop\kzgjzllr.log

Удаляет следующие файлы

%TEMP%\c0edpdls.cmdline
%TEMP%\c0edpdls.0.cs
%TEMP%\c0edpdls.out
%TEMP%\nlu7fimyec

Перемещает следующие файлы

%ProgramFiles%\microsoft office\office14\bcssync.exe в %ProgramFiles%\microsoft office\office14\bcssync.exe.exe

Сетевая активность

Подключается к

'21#.#26.100.235':80

TCP

Запросы HTTP POST

http://21#.#26.100.235/php/sqlimageDump/Proton/ToLocalExternal/TrafficUploads/Httpdownloads/ProcessBigloadlongpollUploads/videoTraffic/36ServerPipe/videowindowsTraffic.php

Другое

Создает и запускает на исполнение

'%ProgramFiles%\mozilla firefox\wudfhost.exe'
'<SYSTEM32>\cmd.exe' /C "%TEMP%\Q23Se9VDi3.bat"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\c0edpdls.cmdline"' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\schtasks.exe' /create /tn "winlogonw" /sc MINUTE /mo 11 /tr "'C:\Recovery\fc7d0508-3f8d-11ed-bf82-c9aa0b5639b5\winlogon.exe'" /f
'<SYSTEM32>\cmd.exe' /C "%TEMP%\Q23Se9VDi3.bat"
'<SYSTEM32>\schtasks.exe' /create /tn "iexplorei" /sc MINUTE /mo 11 /tr "'%WINDIR%\Cursors\iexplore.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "iexplore" /sc ONLOGON /tr "'%WINDIR%\Cursors\iexplore.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "iexplorei" /sc MINUTE /mo 11 /tr "'%WINDIR%\Cursors\iexplore.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "firefoxf" /sc MINUTE /mo 13 /tr "'%HOMEPATH%\Videos\firefox.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "firefox" /sc ONLOGON /tr "'%HOMEPATH%\Videos\firefox.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "firefoxf" /sc MINUTE /mo 7 /tr "'%HOMEPATH%\Videos\firefox.exe'" /f
'<SYSTEM32>\chcp.com' 65001
'<SYSTEM32>\schtasks.exe' /create /tn "WUDFHostW" /sc MINUTE /mo 13 /tr "'%ProgramFiles%\Mozilla Firefox\WUDFHost.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "WUDFHostW" /sc MINUTE /mo 10 /tr "'%ProgramFiles%\Mozilla Firefox\WUDFHost.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "firefoxf" /sc MINUTE /mo 7 /tr "'<Текущая директория>\firefox.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "firefox" /sc ONLOGON /tr "'<Текущая директория>\firefox.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "firefoxf" /sc MINUTE /mo 9 /tr "'<Текущая директория>\firefox.exe'" /f
'%WINDIR%\microsoft.net\framework64\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\c0edpdls.cmdline"
'<SYSTEM32>\schtasks.exe' /create /tn "winlogonw" /sc MINUTE /mo 12 /tr "'C:\Recovery\fc7d0508-3f8d-11ed-bf82-c9aa0b5639b5\winlogon.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "winlogon" /sc ONLOGON /tr "'C:\Recovery\fc7d0508-3f8d-11ed-bf82-c9aa0b5639b5\winlogon.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "WUDFHost" /sc ONLOGON /tr "'%ProgramFiles%\Mozilla Firefox\WUDFHost.exe'" /rl HIGHEST /f
'<SYSTEM32>\ping.exe' -n 10 localhost