Trojan.Siggen30.29609

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'ngr' = '%APPDATA%\ngr.exe'

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\ngr
%APPDATA%\microsoft\windows\start menu\programs\startup\ngr.lnk

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\usb.exe
<Имя диска съемного носителя>:\holycrosschurchinstructions.docx.lnk
<Имя диска съемного носителя>:\issi2013_template_for_posters.docx.lnk
<Имя диска съемного носителя>:\nwfieldnotes1966.docx.lnk
<Имя диска съемного носителя>:\weeklysheet1215.doc.lnk
<Имя диска съемного носителя>:\lisp_success.doc.lnk
<Имя диска съемного носителя>:\applicantform_en.doc.lnk
<Имя диска съемного носителя>:\hanni_umami_chapter.doc.lnk
<Имя диска съемного носителя>:\uep_form_786_bulletin_1726i602.doc.lnk
<Имя диска съемного носителя>:\fi51.doc.lnk
<Имя диска съемного носителя>:\february_catalogue__2015.doc.lnk
<Имя диска съемного носителя>:\contoso.cer.lnk
<Имя диска съемного носителя>:\sdszfo.docx.lnk
<Имя диска съемного носителя>:\testee.cer.lnk
<Имя диска съемного носителя>:\sdkfailsafeemulator.cer.lnk
<Имя диска съемного носителя>:\dial.bmp.lnk
<Имя диска съемного носителя>:\tileimage.bmp.lnk
<Имя диска съемного носителя>:\dashborder_192.bmp.lnk
<Имя диска съемного носителя>:\dashborder_96.bmp.lnk
<Имя диска съемного носителя>:\dashborder_120.bmp.lnk
<Имя диска съемного носителя>:\default.bmp.lnk
<Имя диска съемного носителя>:\coffee.bmp.lnk
<Имя диска съемного носителя>:\correct.avi.lnk
<Имя диска съемного носителя>:\split.avi.lnk
<Имя диска съемного носителя>:\archer.avi.lnk
<Имя диска съемного носителя>:\pmd.cer.lnk
<Имя диска съемного носителя>:\hadac_newsletter_july_2010_final.docx.lnk

Вредоносные функции

Для затруднения выявления своего присутствия в системе

добавляет исключения антивируса:

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass Add-MpPreference -ExclusionPath '<Полный путь к файлу>'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass Add-MpPreference -ExclusionProcess '<Имя файла>.exe'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass Add-MpPreference -ExclusionPath '%APPDATA%\ngr.exe'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass Add-MpPreference -ExclusionProcess 'ngr.exe'

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\ngr.exe

Присваивает атрибут 'скрытый' для следующих файлов

<Имя диска съемного носителя>:\usb.exe

Сетевая активность

Подключается к

'ip##pi.com':80
'pa###bin.com':443
'pk#.goog':80

TCP

Запросы HTTP GET

http://ip##pi.com/line/?fi############
http://pk#.goog/gsr1/gsr1.crt

Другие

'pa###bin.com':443

UDP

DNS ASK ip##pi.com
DNS ASK pa###bin.com
DNS ASK pk#.goog

Другое

Создает и запускает на исполнение

'%APPDATA%\ngr.exe'

Запускает на исполнение

'<SYSTEM32>\schtasks.exe' /create /f /RL HIGHEST /sc minute /mo 1 /tn "ngr" /tr "%APPDATA%\ngr.exe" (со скрытым окном)
'<SYSTEM32>\taskeng.exe' {83C18DCE-4D9F-42A7-97EC-32CC2361FE25} S-1-5-21-3691498038-2086406363-2140527554-1000:wmaeigdsldj\user:Interactive:[1]
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass Add-MpPreference -ExclusionPath '<Полный путь к файлу>' (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass Add-MpPreference -ExclusionProcess '<Имя файла>.exe' (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass Add-MpPreference -ExclusionPath '%APPDATA%\ngr.exe' (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass Add-MpPreference -ExclusionProcess 'ngr.exe' (со скрытым окном)
'%APPDATA%\ngr.exe' (со скрытым окном)