Trojan.Siggen23.32522

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKLM\software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\rstrui.exe] 'Debugger' = 'nqij.exe'
[HKLM\software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\egui.exe] 'Debugger' = 'nqij.exe'
[HKLM\software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\zlclient.exe] 'Debugger' = 'nqij.exe'
[HKLM\software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\bdagent.exe] 'Debugger' = 'nqij.exe'
[HKLM\software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\keyscrambler.exe] 'Debugger' = 'nqij.exe'
[HKLM\software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avp.exe] 'Debugger' = 'nqij.exe'
[HKLM\software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\wireshark.exe] 'Debugger' = 'nqij.exe'
[HKLM\software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mbamscheduler.exe] 'Debugger' = 'nqij.exe'
[HKLM\software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ComboFix.exe] 'Debugger' = 'nqij.exe'
[HKLM\software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\MpCmdRun.exe] 'Debugger' = 'nqij.exe'
[HKLM\software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\msseces.exe] 'Debugger' = 'nqij.exe'
[HKLM\software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\MsMpEng.exe] 'Debugger' = 'nqij.exe'
[HKLM\software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\blindman.exe] 'Debugger' = 'nqij.exe'
[HKLM\software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\SDFiles.exe] 'Debugger' = 'nqij.exe'
[HKLM\software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\SDMain.exe] 'Debugger' = 'nqij.exe'
[HKLM\software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avgrsx.exe] 'Debugger' = 'nqij.exe'
[HKLM\software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avgwdsvc.exe] 'Debugger' = 'nqij.exe'
[HKLM\software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avgidsagent.exe] 'Debugger' = 'nqij.exe'
[HKLM\software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avgcsrvx.exe] 'Debugger' = 'nqij.exe'
[HKLM\software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avgui.exe] 'Debugger' = 'nqij.exe'
[HKLM\software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avconfig.exe] 'Debugger' = 'nqij.exe'
[HKLM\software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\AvastUI.exe] 'Debugger' = 'nqij.exe'
[HKLM\software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avscan.exe] 'Debugger' = 'nqij.exe'
[HKLM\software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\instup.exe] 'Debugger' = 'nqij.exe'
[HKLM\software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mbam.exe] 'Debugger' = 'nqij.exe'
[HKLM\software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mbamgui.exe] 'Debugger' = 'nqij.exe'
[HKLM\software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\SDWinSec.exe] 'Debugger' = 'nqij.exe'
[HKLM\software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\MSASCui.exe] 'Debugger' = 'nqij.exe'
[HKLM\software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mbampt.exe] 'Debugger' = 'nqij.exe'
[HKLM\software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\hijackthis.exe] 'Debugger' = 'nqij.exe'
[HKLM\software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\spybotsd.exe] 'Debugger' = 'nqij.exe'
[HKLM\software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ccuac.exe] 'Debugger' = 'nqij.exe'
[HKLM\software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avcenter.exe] 'Debugger' = 'nqij.exe'
[HKLM\software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avguard.exe] 'Debugger' = 'nqij.exe'
[HKLM\software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avgnt.exe] 'Debugger' = 'nqij.exe'
[HKLM\software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\AvastSvc.exe] 'Debugger' = 'nqij.exe'
[HKLM\software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mbamservice.exe] 'Debugger' = 'nqij.exe'
[HKCU\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'shell' = 'explorer.exe,"%APPDATA%\Microsoft\<Имя файла>.exe"'

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует отображение:

скрытых файлов

блокирует:

Компонент восстановления системы (SR)

Внедряет код в

следующие пользовательские процессы:

<Имя файла>.exe

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\microsoft\<Имя файла>.exe
%WINDIR%\syswow64\windows services\win32.exe

Присваивает атрибут 'скрытый' для следующих файлов

%WINDIR%\syswow64\windows services\win32.exe
%APPDATA%\microsoft\<Имя файла>.exe

Сетевая активность

UDP

DNS ASK an####.dyndns.org

Другое

Создает и запускает на исполнение

'%APPDATA%\microsoft\<Имя файла>.exe'
'%WINDIR%\syswow64\windows services\win32.exe'
'<SYSTEM32>\cmd.exe' /c echo [zoneTransfer]ZoneID = 2 > "<Полный путь к файлу>":ZONE.identifier & exit' (со скрытым окном)

Запускает на исполнение