Trojan.Siggen30.19083

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'firefox' = '"<Текущая директория>\firefox.exe"'
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'firefox' = '"<Текущая директория>\firefox.exe"'
[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "<Текущая директория>\firefox.exe"'
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'dwm' = '"C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\dwm.exe"'
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'dwm' = '"C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\dwm.exe"'
[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "<Текущая директория>\firefox.exe", "C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\dwm.exe"'
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'smss' = '"%HOMEPATH%\Templates\smss.exe"'
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'smss' = '"%HOMEPATH%\Templates\smss.exe"'
[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "<Текущая директория>\firefox.exe", "C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\dwm.exe", "%HOMEPATH%...
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'smss' = '"C:\WebreviewWinsavesMonitor\smss.exe"'
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'smss' = '"C:\WebreviewWinsavesMonitor\smss.exe"'
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'explorer' = '"%WINDIR%\schemas\WCN\explorer.exe"'
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'explorer' = '"%WINDIR%\schemas\WCN\explorer.exe"'
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'FontBrokerPerfCommon' = '"C:\WebreviewWinsavesMonitor\FontBrokerPerfCommon.exe"'
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'FontBrokerPerfCommon' = '"C:\WebreviewWinsavesMonitor\FontBrokerPerfCommon.exe"'

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\firefoxf
<SYSTEM32>\tasks\firefox
<SYSTEM32>\tasks\dwmd
<SYSTEM32>\tasks\smsss
<SYSTEM32>\tasks\smss
<SYSTEM32>\tasks\dwm

Изменения в файловой системе

Создает следующие файлы

%TEMP%\petuh.exe
%TEMP%\yrffdrcgfd
%TEMP%\q13honii.out
%TEMP%\q13honii.cmdline
%TEMP%\q13honii.0.cs
<Текущая директория>\0fc223bdacedc3
<Текущая директория>\firefox.exe
C:\recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\6cb0b6c459d5d3
C:\recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\dwm.exe
%HOMEPATH%\templates\69ddcba757bf72
%HOMEPATH%\templates\smss.exe
C:\webreviewwinsavesmonitor\69ddcba757bf72
C:\webreviewwinsavesmonitor\smss.exe
%WINDIR%\schemas\wcn\7a0fd90576e088
%WINDIR%\schemas\wcn\explorer.exe
C:\webreviewwinsavesmonitor\7e869753260d3f
%HOMEPATH%\desktop\txdblyco.log
%HOMEPATH%\desktop\pehdmxyl.log
C:\webreviewwinsavesmonitor\igfym5qbouzg571t5y0r9fpsciudjz10grav0vkcnmdu2qi1pn.bat
C:\webreviewwinsavesmonitor\uzcpy80ahlkn4omioaj4esevqspayct8tktqr3mz.vbe
C:\webreviewwinsavesmonitor\fontbrokerperfcommon.exe
<Текущая директория>\bootstrapperv1.23.exe
%TEMP%\0cu48z8vkw.bat
nul

Удаляет следующие файлы

%TEMP%\q13honii.cmdline
%TEMP%\q13honii.0.cs
%TEMP%\q13honii.out
%TEMP%\yrffdrcgfd

Перемещает следующие файлы

%ProgramFiles%\microsoft office\office14\bcssync.exe в %ProgramFiles%\microsoft office\office14\bcssync.exe.exe

Другое

Ищет следующие окна

ClassName: 'EDIT' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\petuh.exe'
'<Текущая директория>\bootstrapperv1.23.exe'
'%WINDIR%\syswow64\wscript.exe' "C:\WebreviewWinsavesMonitor\uzcPY80AhLKN4omiOAj4ESEvQSPayCt8tktQr3mz.vbe"
'C:\webreviewwinsavesmonitor\fontbrokerperfcommon.exe'
'C:\webreviewwinsavesmonitor\smss.exe'

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c ipconfig /all
'<SYSTEM32>\cmd.exe' /C "%TEMP%\0cU48Z8vkw.bat" (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /create /tn "FontBrokerPerfCommonF" /sc MINUTE /mo 8 /tr "'C:\WebreviewWinsavesMonitor\FontBrokerPerfCommon.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "FontBrokerPerfCommon" /sc ONLOGON /tr "'C:\WebreviewWinsavesMonitor\FontBrokerPerfCommon.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "FontBrokerPerfCommonF" /sc MINUTE /mo 5 /tr "'C:\WebreviewWinsavesMonitor\FontBrokerPerfCommon.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "explorere" /sc MINUTE /mo 9 /tr "'%WINDIR%\schemas\WCN\explorer.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "explorer" /sc ONLOGON /tr "'%WINDIR%\schemas\WCN\explorer.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "explorere" /sc MINUTE /mo 11 /tr "'%WINDIR%\schemas\WCN\explorer.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "smsss" /sc MINUTE /mo 11 /tr "'C:\WebreviewWinsavesMonitor\smss.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "smss" /sc ONLOGON /tr "'C:\WebreviewWinsavesMonitor\smss.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "smsss" /sc MINUTE /mo 7 /tr "'C:\WebreviewWinsavesMonitor\smss.exe'" /f
'<SYSTEM32>\chcp.com' 65001
'<SYSTEM32>\schtasks.exe' /create /tn "smsss" /sc MINUTE /mo 7 /tr "'%HOMEPATH%\Templates\smss.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "smsss" /sc MINUTE /mo 11 /tr "'%HOMEPATH%\Templates\smss.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "dwmd" /sc MINUTE /mo 6 /tr "'C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\dwm.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "dwm" /sc ONLOGON /tr "'C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\dwm.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "dwmd" /sc MINUTE /mo 11 /tr "'C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\dwm.exe'" /f
'%WINDIR%\microsoft.net\framework64\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\q13honii.cmdline" (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /create /tn "firefoxf" /sc MINUTE /mo 6 /tr "'<Текущая директория>\firefox.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "firefox" /sc ONLOGON /tr "'<Текущая директория>\firefox.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "firefoxf" /sc MINUTE /mo 12 /tr "'<Текущая директория>\firefox.exe'" /f
'%WINDIR%\syswow64\cmd.exe' /c ""C:\WebreviewWinsavesMonitor\IgfyM5QbouzG571T5y0R9FPscIUdJz10graV0VkcNmdu2qI1Pn.bat" " (со скрытым окном)
'<SYSTEM32>\ipconfig.exe' /all
'<SYSTEM32>\schtasks.exe' /create /tn "smss" /sc ONLOGON /tr "'%HOMEPATH%\Templates\smss.exe'" /rl HIGHEST /f
'<SYSTEM32>\ping.exe' -n 10 localhost