Trojan.Siggen25.24063

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\lsml
<SYSTEM32>\tasks\lsm
<SYSTEM32>\tasks\dwmd
<SYSTEM32>\tasks\dwm
<SYSTEM32>\tasks\iexplorei
<SYSTEM32>\tasks\iexplore
<SYSTEM32>\tasks\taskhostt
<SYSTEM32>\tasks\idlei
<SYSTEM32>\tasks\taskhost
<SYSTEM32>\tasks\idle

Изменения в файловой системе

Создает следующие файлы

%WINDIR%\offline web pages\lsm.exe
%HOMEPATH%\desktop\figlssvx.log
%HOMEPATH%\desktop\xfywiyfp.log
%HOMEPATH%\desktop\dnlqotva.log
%HOMEPATH%\desktop\kwykuokl.log
%HOMEPATH%\desktop\klzpripp.log
%HOMEPATH%\desktop\rumkxdfz.log
%HOMEPATH%\desktop\gyqgvhft.log
%HOMEPATH%\desktop\xvirlnqm.log
%HOMEPATH%\desktop\kvpvntft.log
%HOMEPATH%\desktop\gfyegwez.log
%HOMEPATH%\desktop\xlfttoew.log
%HOMEPATH%\desktop\ezeozsjh.log
%HOMEPATH%\desktop\czxsvltk.log
%HOMEPATH%\desktop\tvpdmred.log
%HOMEPATH%\desktop\kshncyov.log
%HOMEPATH%\desktop\ilsunbzs.log
%HOMEPATH%\desktop\hvizkmpw.log
%HOMEPATH%\desktop\scfriilx.log
%HOMEPATH%\desktop\zbcgssle.log
%HOMEPATH%\desktop\sspmmxvt.log
C:\msocache\all users\{90140000-0019-0409-1000-0000000ff1ce}-c\dwm.exe
C:\msocache\all users\{90140000-0019-0409-1000-0000000ff1ce}-c\6cb0b6c459d5d3
<Текущая директория>\iexplore.exe
<Текущая директория>\9db6e019d4f04e
C:\kms\taskhost.exe
C:\kms\b75386f1303e64
C:\msocache\all users\{90140000-001b-0409-1000-0000000ff1ce}-c\idle.exe
%WINDIR%\offline web pages\101b941d020240
C:\msocache\all users\{90140000-001b-0409-1000-0000000ff1ce}-c\6ccacd8608530f
%TEMP%\gzvues6rji.bat
nul
%HOMEPATH%\desktop\dbnalklt.log
%HOMEPATH%\desktop\lubnjibe.log
%HOMEPATH%\desktop\cmixzfwx.log
%HOMEPATH%\desktop\tizhqmgq.log
%HOMEPATH%\desktop\sdohpdqp.log
%TEMP%\iwwn8hcalv
%TEMP%\a9m3gj40o7
%TEMP%\co0v9x3foa.bat

Удаляет следующие файлы

%TEMP%\iwwn8hcalv
%TEMP%\a9m3gj40o7

Сетевая активность

Подключается к

'<LOCALNET>.192.168':80

UDP

'localhost':123

Другое

Создает и запускает на исполнение

'C:\msocache\all users\{90140000-001b-0409-1000-0000000ff1ce}-c\idle.exe'
'<SYSTEM32>\cmd.exe' /C "%TEMP%\GzVuES6RjI.bat"' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C "%TEMP%\cO0v9X3fOA.bat"' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\schtasks.exe' /create /tn "lsml" /sc MINUTE /mo 8 /tr "'%WINDIR%\Offline Web Pages\lsm.exe'" /f
'<SYSTEM32>\w32tm.exe' /stripchart /computer:localhost /period:5 /dataonly /samples:2
'<SYSTEM32>\chcp.com' 65001
'<SYSTEM32>\cmd.exe' /C "%TEMP%\GzVuES6RjI.bat"
'<SYSTEM32>\schtasks.exe' /create /tn "IdleI" /sc MINUTE /mo 12 /tr "'C:\MSOCache\All Users\{90140000-001B-0409-1000-0000000FF1CE}-C\Idle.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "Idle" /sc ONLOGON /tr "'C:\MSOCache\All Users\{90140000-001B-0409-1000-0000000FF1CE}-C\Idle.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "IdleI" /sc MINUTE /mo 9 /tr "'C:\MSOCache\All Users\{90140000-001B-0409-1000-0000000FF1CE}-C\Idle.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "taskhostt" /sc MINUTE /mo 14 /tr "'C:\kms\taskhost.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "taskhost" /sc ONLOGON /tr "'C:\kms\taskhost.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "taskhostt" /sc MINUTE /mo 14 /tr "'C:\kms\taskhost.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "iexplorei" /sc MINUTE /mo 13 /tr "'<Текущая директория>\iexplore.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "iexplore" /sc ONLOGON /tr "'<Текущая директория>\iexplore.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "iexplorei" /sc MINUTE /mo 6 /tr "'<Текущая директория>\iexplore.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "dwmd" /sc MINUTE /mo 9 /tr "'C:\MSOCache\All Users\{90140000-0019-0409-1000-0000000FF1CE}-C\dwm.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "dwm" /sc ONLOGON /tr "'C:\MSOCache\All Users\{90140000-0019-0409-1000-0000000FF1CE}-C\dwm.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "dwmd" /sc MINUTE /mo 10 /tr "'C:\MSOCache\All Users\{90140000-0019-0409-1000-0000000FF1CE}-C\dwm.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "lsml" /sc MINUTE /mo 12 /tr "'%WINDIR%\Offline Web Pages\lsm.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "lsm" /sc ONLOGON /tr "'%WINDIR%\Offline Web Pages\lsm.exe'" /rl HIGHEST /f
'<SYSTEM32>\cmd.exe' /C "%TEMP%\cO0v9X3fOA.bat"
'<SYSTEM32>\ping.exe' -n 10 localhost