Trojan.Siggen29.4602

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\_testtraffic

Вредоносные функции

Внедряет код в

следующие системные процессы:

%WINDIR%\microsoft.net\framework\v4.0.30319\regasm.exe
%WINDIR%\microsoft.net\framework\v4.0.30319\msbuild.exe

Завершает или пытается завершить

следующие системные процессы:

%WINDIR%\microsoft.net\framework\v4.0.30319\regasm.exe
%WINDIR%\microsoft.net\framework\v4.0.30319\msbuild.exe

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: 'OLLYDBG', WindowName: ''

Изменения в файловой системе

Создает следующие файлы

%TEMP%\2bdiaknm.0.cs
%TEMP%\csc299f.tmp
%TEMP%\1l4wb1az.out
%TEMP%\1l4wb1az.cmdline
%TEMP%\1l4wb1az.0.cs
%TEMP%\iq21fxmt.dll
%TEMP%\res18bf.tmp
%TEMP%\csc18be.tmp
%TEMP%\iq21fxmt.out
%TEMP%\iq21fxmt.cmdline
%TEMP%\iq21fxmt.0.cs
%TEMP%\og0lmutp.dll
%TEMP%\resb18.tmp
%TEMP%\cscb17.tmp
%TEMP%\og0lmutp.out
%TEMP%\og0lmutp.cmdline
%TEMP%\og0lmutp.0.cs
%TEMP%\d1uaj0b2.dll
%TEMP%\rese0ed.tmp
%TEMP%\csce0ec.tmp
%TEMP%\d1uaj0b2.out
%TEMP%\d1uaj0b2.cmdline
%TEMP%\d1uaj0b2.0.cs
%APPDATA%\uploadslocal\windowsdatalife.exe.config
%APPDATA%\uploadslocal\windowsdatalife.exe
%TEMP%\2bdiaknm.dll
%TEMP%\resad11.tmp
%TEMP%\cscacf1.tmp
%TEMP%\2bdiaknm.out
%TEMP%\2bdiaknm.cmdline
%TEMP%\res29a0.tmp
%TEMP%\1l4wb1az.dll

Присваивает атрибут 'скрытый' для следующих файлов

%APPDATA%\uploadslocal\windowsdatalife.exe

Удаляет следующие файлы

%TEMP%\resad11.tmp
%TEMP%\1l4wb1az.out
%TEMP%\1l4wb1az.dll
%TEMP%\csc299f.tmp
%TEMP%\res29a0.tmp
%TEMP%\iq21fxmt.cmdline
%TEMP%\iq21fxmt.out
%TEMP%\iq21fxmt.dll
%TEMP%\iq21fxmt.0.cs
%TEMP%\csc18be.tmp
%TEMP%\res18bf.tmp
<SYSTEM32>\tasks\_testtraffic
%TEMP%\og0lmutp.out
%TEMP%\og0lmutp.0.cs
%TEMP%\1l4wb1az.cmdline
%TEMP%\og0lmutp.cmdline
%TEMP%\cscb17.tmp
%TEMP%\resb18.tmp
%TEMP%\d1uaj0b2.0.cs
%TEMP%\d1uaj0b2.cmdline
%TEMP%\d1uaj0b2.dll
%TEMP%\d1uaj0b2.out
%TEMP%\csce0ec.tmp
%TEMP%\rese0ed.tmp
%TEMP%\2bdiaknm.cmdline
%TEMP%\2bdiaknm.out
%TEMP%\2bdiaknm.0.cs
%TEMP%\2bdiaknm.dll
%TEMP%\cscacf1.tmp
%TEMP%\og0lmutp.dll
%TEMP%\1l4wb1az.0.cs

Сетевая активность

Подключается к

'localhost':1111
'29###.##ient.sudorat.top':29730

TCP

Другие

'29###.##ient.sudorat.top':29730

UDP

DNS ASK 29###.##ient.sudorat.top

Другое

Создает и запускает на исполнение

'%APPDATA%\uploadslocal\windowsdatalife.exe'

Запускает на исполнение

'%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\2bdiaknm.cmdline" (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESAD11.tmp" "%TEMP%\CSCACF1.tmp" (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\d1uaj0b2.cmdline" (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESE0ED.tmp" "%TEMP%\CSCE0EC.tmp" (со скрытым окном)
'<SYSTEM32>\taskeng.exe' {50B3BC1B-55EA-4546-B397-951711B6D7C9} S-1-5-21-3150914307-1777937420-491476919-1000:ijblynlv\user:Interactive:[1]
'%WINDIR%\microsoft.net\framework\v4.0.30319\regasm.exe'
'%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\og0lmutp.cmdline" (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESB18.tmp" "%TEMP%\CSCB17.tmp" (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\iq21fxmt.cmdline" (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES18BF.tmp" "%TEMP%\CSC18BE.tmp" (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v4.0.30319\msbuild.exe'
'%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\1l4wb1az.cmdline" (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES29A0.tmp" "%TEMP%\CSC299F.tmp" (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\ze5vnkte.cmdline" (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESFC9.tmp" "%TEMP%\CSCFC8.tmp" (со скрытым окном)
'%APPDATA%\uploadslocal\windowsdatalife.exe' (со скрытым окном)