Trojan.Siggen30.29925

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'smss' = '"%ProgramFiles%\Microsoft SQL Server Compact Edition\v3.5\Desktop\smss.exe"'
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'smss' = '"%ProgramFiles%\Microsoft SQL Server Compact Edition\v3.5\Desktop\smss.exe"'
[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "%ProgramFiles%\Microsoft SQL Server Compact Edition\v3.5\Desktop\smss.exe"'
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'iexplore' = '"<Текущая директория>\iexplore.exe"'
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'iexplore' = '"<Текущая директория>\iexplore.exe"'
[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "%ProgramFiles%\Microsoft SQL Server Compact Edition\v3.5\Desktop\smss.exe", "<Текущая директория>\iexplore...
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'Idle' = '"C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\Idle.exe"'
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'Idle' = '"C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\Idle.exe"'
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'iexplore' = '"C:\kms\iexplore.exe"'
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'iexplore' = '"C:\kms\iexplore.exe"'
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'sppsvc' = '"<Текущая директория>\sppsvc.exe"'
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'sppsvc' = '"<Текущая директория>\sppsvc.exe"'
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] '<Имя файла>' = '"<Полный путь к файлу>"'
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] '<Имя файла>' = '"<Полный путь к файлу>"'

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\smsss
<SYSTEM32>\tasks\smss
<SYSTEM32>\tasks\iexplorei
<SYSTEM32>\tasks\idlei
<SYSTEM32>\tasks\iexplore
<SYSTEM32>\tasks\idle
<SYSTEM32>\tasks\sppsvcs
<SYSTEM32>\tasks\sppsvc
<SYSTEM32>\tasks\<Имя файла>f
<SYSTEM32>\tasks\<Имя файла>

Изменения в файловой системе

Создает следующие файлы

<Текущая директория>\305f936fb89e82
%HOMEPATH%\desktop\wueqpzbt.log
%HOMEPATH%\desktop\mwkvjdrh.log
%HOMEPATH%\desktop\oggwjvwi.log
%HOMEPATH%\desktop\xkolspmp.log
%HOMEPATH%\desktop\nfylcxbe.log
nul
%TEMP%\yqiolgs8q3.bat
%TEMP%\drkhvuptuf
%TEMP%\xrqnlilp.out
%TEMP%\xrqnlilp.cmdline
%TEMP%\xrqnlilp.0.cs
%ProgramFiles%\microsoft sql server compact edition\v3.5\desktop\69ddcba757bf72
%ProgramFiles%\microsoft sql server compact edition\v3.5\desktop\smss.exe
<Текущая директория>\9db6e019d4f04e
<Текущая директория>\iexplore.exe
C:\recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\6ccacd8608530f
C:\recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\idle.exe
C:\kms\9db6e019d4f04e
C:\kms\iexplore.exe
<Текущая директория>\0a1fd5f707cd16
<Текущая директория>\sppsvc.exe
%HOMEPATH%\desktop\cxgkvlbd.log
%HOMEPATH%\desktop\tuyulslw.log

Удаляет следующие файлы

%TEMP%\xrqnlilp.cmdline
%TEMP%\xrqnlilp.out
%TEMP%\xrqnlilp.0.cs
%TEMP%\drkhvuptuf

Перемещает следующие файлы

%ProgramFiles%\microsoft office\office14\bcssync.exe в %ProgramFiles%\microsoft office\office14\bcssync.exe.exe

Сетевая активность

Подключается к

'60####cm.renyash.ru':80

TCP

Запросы HTTP POST

http://60####cm.renyash.ru/LinejsUpdateGameDefaulttrack.php

UDP

DNS ASK 60####cm.renyash.ru
'localhost':123

Другое

Создает и запускает на исполнение

'<Текущая директория>\sppsvc.exe'

Запускает на исполнение

'<SYSTEM32>\schtasks.exe' /create /tn "smsss" /sc MINUTE /mo 6 /tr "'%ProgramFiles%\Microsoft SQL Server Compact Edition\v3.5\Desktop\smss.exe'" /f
'<SYSTEM32>\cmd.exe' /C "%TEMP%\yQiOlGS8Q3.bat" (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /create /tn "<Имя файла>f" /sc MINUTE /mo 8 /tr "'<Полный путь к файлу>'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "<Имя файла>" /sc ONLOGON /tr "'<Полный путь к файлу>'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "<Имя файла>f" /sc MINUTE /mo 6 /tr "'<Полный путь к файлу>'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "sppsvcs" /sc MINUTE /mo 7 /tr "'<Текущая директория>\sppsvc.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "sppsvc" /sc ONLOGON /tr "'<Текущая директория>\sppsvc.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "sppsvcs" /sc MINUTE /mo 8 /tr "'<Текущая директория>\sppsvc.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "iexplorei" /sc MINUTE /mo 5 /tr "'C:\kms\iexplore.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "iexplore" /sc ONLOGON /tr "'C:\kms\iexplore.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "iexplorei" /sc MINUTE /mo 7 /tr "'C:\kms\iexplore.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "IdleI" /sc MINUTE /mo 8 /tr "'C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\Idle.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "Idle" /sc ONLOGON /tr "'C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\Idle.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "IdleI" /sc MINUTE /mo 7 /tr "'C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\Idle.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "iexplorei" /sc MINUTE /mo 7 /tr "'<Текущая директория>\iexplore.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "iexplore" /sc ONLOGON /tr "'<Текущая директория>\iexplore.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "iexplorei" /sc MINUTE /mo 5 /tr "'<Текущая директория>\iexplore.exe'" /f
'%WINDIR%\microsoft.net\framework64\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\xrqnlilp.cmdline" (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /create /tn "smsss" /sc MINUTE /mo 13 /tr "'%ProgramFiles%\Microsoft SQL Server Compact Edition\v3.5\Desktop\smss.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "smss" /sc ONLOGON /tr "'%ProgramFiles%\Microsoft SQL Server Compact Edition\v3.5\Desktop\smss.exe'" /rl HIGHEST /f
'<SYSTEM32>\chcp.com' 65001
'<SYSTEM32>\w32tm.exe' /stripchart /computer:localhost /period:5 /dataonly /samples:2