Trojan.Siggen29.14600

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'iexplore' = '"C:\kms\iexplore.exe"'
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'iexplore' = '"C:\kms\iexplore.exe"'
[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "C:\kms\iexplore.exe"'
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'WUDFHost' = '"%ProgramFiles(x86)%\Windows Sidebar\en-US\WUDFHost.exe"'
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'WUDFHost' = '"%ProgramFiles(x86)%\Windows Sidebar\en-US\WUDFHost.exe"'
[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "C:\kms\iexplore.exe", "%ProgramFiles(x86)%\Windows Sidebar\en-US\WUDFHost.exe"'
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'WUDFHost' = '"C:\Recovery\4cc8e8a4-51d2-11ee-b826-9a90d4dcffb5\WUDFHost.exe"'
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'WUDFHost' = '"C:\Recovery\4cc8e8a4-51d2-11ee-b826-9a90d4dcffb5\WUDFHost.exe"'
[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "C:\kms\iexplore.exe", "%ProgramFiles(x86)%\Windows Sidebar\en-US\WUDFHost.exe", "C:\Recovery\4cc8e8a4-51d2...
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'spoolsv' = '"%ProgramFiles(x86)%\Uninstall Information\spoolsv.exe"'
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'spoolsv' = '"%ProgramFiles(x86)%\Uninstall Information\spoolsv.exe"'
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'smss' = '"C:\Users\Default User\smss.exe"'
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'smss' = '"C:\Users\Default User\smss.exe"'
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] '<Имя файла>' = '"<Полный путь к файлу>"'
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] '<Имя файла>' = '"<Полный путь к файлу>"'

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\iexplorei
<SYSTEM32>\tasks\iexplore
<SYSTEM32>\tasks\wudfhostw
<SYSTEM32>\tasks\wudfhost
<SYSTEM32>\tasks\spoolsvs
<SYSTEM32>\tasks\smsss
<SYSTEM32>\tasks\<Имя файла>q
<SYSTEM32>\tasks\smss
<SYSTEM32>\tasks\spoolsv
<SYSTEM32>\tasks\<Имя файла>

Изменения в файловой системе

Создает следующие файлы

<Текущая директория>\a8460820ca2186
%HOMEPATH%\desktop\dyvmxsew.log
%HOMEPATH%\desktop\lcechlud.log
%HOMEPATH%\desktop\cjuhbyzs.log
%HOMEPATH%\desktop\lbylpbzd.log
nul
%TEMP%\uqt2eatfnl.bat
%TEMP%\dp1pct6ysv
%TEMP%\nm0ya2ya.out
%TEMP%\nm0ya2ya.cmdline
%HOMEPATH%\desktop\btkmxjpw.log
%TEMP%\nm0ya2ya.0.cs
C:\kms\iexplore.exe
%ProgramFiles(x86)%\windows sidebar\en-us\480b7989c529f6
%ProgramFiles(x86)%\windows sidebar\en-us\wudfhost.exe
C:\recovery\4cc8e8a4-51d2-11ee-b826-9a90d4dcffb5\480b7989c529f6
C:\recovery\4cc8e8a4-51d2-11ee-b826-9a90d4dcffb5\wudfhost.exe
%ProgramFiles(x86)%\uninstall information\f3b6ecef712a24
%ProgramFiles(x86)%\uninstall information\spoolsv.exe
C:\users\default user\69ddcba757bf72
C:\users\default user\smss.exe
C:\kms\9db6e019d4f04e
%HOMEPATH%\desktop\kmthdwjh.log

Удаляет следующие файлы

%TEMP%\nm0ya2ya.out
%TEMP%\nm0ya2ya.0.cs
%TEMP%\nm0ya2ya.cmdline
%TEMP%\dp1pct6ysv

Перемещает следующие файлы

%ProgramFiles%\microsoft office\office14\bcssync.exe в %ProgramFiles%\microsoft office\office14\bcssync.exe.exe

Сетевая активность

Подключается к

'be###eda.top':80

TCP

Запросы HTTP POST

http://be###eda.top/javascriptpacketcpuupdatemultiAsyncDownloads.php

UDP

DNS ASK be###eda.top

Другое

Создает и запускает на исполнение

'%ProgramFiles(x86)%\uninstall information\spoolsv.exe'

Запускает на исполнение

'<SYSTEM32>\schtasks.exe' /create /tn "iexplorei" /sc MINUTE /mo 7 /tr "'C:\kms\iexplore.exe'" /f
'<SYSTEM32>\cmd.exe' /C "%TEMP%\UqT2eatfnL.bat" (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /create /tn "<Имя файла>q" /sc MINUTE /mo 6 /tr "'<Полный путь к файлу>'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "<Имя файла>" /sc ONLOGON /tr "'<Полный путь к файлу>'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "<Имя файла>q" /sc MINUTE /mo 8 /tr "'<Полный путь к файлу>'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "smsss" /sc MINUTE /mo 6 /tr "'C:\Users\Default User\smss.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "smss" /sc ONLOGON /tr "'C:\Users\Default User\smss.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "smsss" /sc MINUTE /mo 11 /tr "'C:\Users\Default User\smss.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "spoolsvs" /sc MINUTE /mo 9 /tr "'%ProgramFiles(x86)%\Uninstall Information\spoolsv.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "spoolsv" /sc ONLOGON /tr "'%ProgramFiles(x86)%\Uninstall Information\spoolsv.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "spoolsvs" /sc MINUTE /mo 9 /tr "'%ProgramFiles(x86)%\Uninstall Information\spoolsv.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "WUDFHostW" /sc MINUTE /mo 10 /tr "'C:\Recovery\4cc8e8a4-51d2-11ee-b826-9a90d4dcffb5\WUDFHost.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "WUDFHost" /sc ONLOGON /tr "'C:\Recovery\4cc8e8a4-51d2-11ee-b826-9a90d4dcffb5\WUDFHost.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "WUDFHostW" /sc MINUTE /mo 14 /tr "'C:\Recovery\4cc8e8a4-51d2-11ee-b826-9a90d4dcffb5\WUDFHost.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "WUDFHostW" /sc MINUTE /mo 8 /tr "'%ProgramFiles(x86)%\Windows Sidebar\en-US\WUDFHost.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "WUDFHost" /sc ONLOGON /tr "'%ProgramFiles(x86)%\Windows Sidebar\en-US\WUDFHost.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "WUDFHostW" /sc MINUTE /mo 12 /tr "'%ProgramFiles(x86)%\Windows Sidebar\en-US\WUDFHost.exe'" /f
'%WINDIR%\microsoft.net\framework64\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\nm0ya2ya.cmdline" (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /create /tn "iexplorei" /sc MINUTE /mo 11 /tr "'C:\kms\iexplore.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "iexplore" /sc ONLOGON /tr "'C:\kms\iexplore.exe'" /rl HIGHEST /f
'<SYSTEM32>\chcp.com' 65001
'<SYSTEM32>\ping.exe' -n 10 localhost