Trojan.Siggen29.50855

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WidgetService' = '%APPDATA%\WidgetService.exe'

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\widgetservice
%APPDATA%\microsoft\windows\start menu\programs\startup\widgetservice.lnk

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\runtime broker.exe
<Имя диска съемного носителя>:\adhd_and_obesity.docx.lnk
<Имя диска съемного носителя>:\hadac_newsletter_july_2010_final.docx.lnk
<Имя диска съемного носителя>:\cveuropeo.doc.lnk
<Имя диска съемного носителя>:\hanni_umami_chapter.doc.lnk
<Имя диска съемного носителя>:\ovp25012015.doc.lnk
<Имя диска съемного носителя>:\february_catalogue__2015.doc.lnk
<Имя диска съемного носителя>:\508softwareandos.doc.lnk
<Имя диска съемного носителя>:\contoso.cer.lnk
<Имя диска съемного носителя>:\contosoroot_1.cer.lnk
<Имя диска съемного носителя>:\contosoroot.cer.lnk
<Имя диска съемного носителя>:\dashborder_96.bmp.lnk
<Имя диска съемного носителя>:\dashborder_192.bmp.lnk
<Имя диска съемного носителя>:\dial.bmp.lnk
<Имя диска съемного носителя>:\dialmap.bmp.lnk
<Имя диска съемного носителя>:\coffee.bmp.lnk
<Имя диска съемного носителя>:\dashborder_144.bmp.lnk
<Имя диска съемного носителя>:\000814251_video_01.avi.lnk
<Имя диска съемного носителя>:\holycrosschurchinstructions.docx.lnk
<Имя диска съемного носителя>:\file_p_00000000_1371597592.docx.lnk

Вредоносные функции

Для затруднения выявления своего присутствия в системе

добавляет исключения антивируса:

'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass Add-MpPreference -ExclusionPath '<Полный путь к файлу>'
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass Add-MpPreference -ExclusionProcess '<Имя файла>.exe'
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass Add-MpPreference -ExclusionPath '%APPDATA%\WidgetService.exe'
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass Add-MpPreference -ExclusionProcess 'WidgetService.exe'

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: 'OLLYDBG', WindowName: ''

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\widgetservice.exe

Присваивает атрибут 'скрытый' для следующих файлов

<Имя диска съемного носителя>:\runtime broker.exe

Сетевая активность

Подключается к

'ip##pi.com':80

TCP

Запросы HTTP GET

http://ip##pi.com/line/?fi############

Другие

'34.##9.100.209':443

UDP

DNS ASK ip##pi.com

Другое

Создает и запускает на исполнение

'%APPDATA%\widgetservice.exe'

Запускает на исполнение

'%WINDIR%\syswow64\schtasks.exe' /create /f /RL HIGHEST /sc minute /mo 1 /tn "WidgetService" /tr "%APPDATA%\WidgetService.exe" (со скрытым окном)
'<SYSTEM32>\taskeng.exe' {A22A4881-4A07-4C1A-A726-99ADE6E5B747} S-1-5-21-3691498038-2086406363-2140527554-1000:puhqvva\user:Interactive:[1]
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass Add-MpPreference -ExclusionPath '<Полный путь к файлу>' (со скрытым окном)
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass Add-MpPreference -ExclusionProcess '<Имя файла>.exe' (со скрытым окном)
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass Add-MpPreference -ExclusionPath '%APPDATA%\WidgetService.exe' (со скрытым окном)
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass Add-MpPreference -ExclusionProcess 'WidgetService.exe' (со скрытым окном)
'%APPDATA%\widgetservice.exe' (со скрытым окном)