Trojan.Siggen30.30237

Техническая информация

Изменения в файловой системе

Создает следующие файлы

D:\В°ГґГ¶Г·ВєГЇВ»Г·Г®ВўВ¶Г«ВµГ§ГўВјГ¦Г·В·ГўВ№ГІ\data\prguse2.wzl
D:\В°ГґГ¶Г·ВєГЇВ»Г·Г®ВўВ¶Г«ВµГ§ГўВјГ¦Г·В·ГўВ№ГІ\data\prguse2.wzx
D:\В°ГґГ¶Г·ВєГЇВ»Г·Г®ВўВ¶Г«ВµГ§ГўВјГ¦Г·В·ГўВ№ГІ\<Имя файла>.exe
D:\В°ГґГ¶Г·ВєГЇВ»Г·Г®ВўВ¶Г«ВµГ§ГўВјГ¦Г·В·ГўВ№ГІ\gameappr.ini
D:\В°ГґГ¶Г·ВєГЇВ»Г·Г®ВўВ¶Г«ВµГ§ГўВјГ¦Г·В·ГўВ№ГІ\baeedbecbedd.exe
%HOMEPATH%\desktop\В°ГґГ¶Г·ВєГЇВ»Г·В·ГўВ№ГІВµГ§ГўВјГ¦Г·.lnk
D:\В°ГґГ¶Г·ВєГЇВ»Г·Г®ВўВ¶Г«ВµГ§ГўВјГ¦Г·В·ГўВ№ГІ\lscfg.ini
D:\В°ГґГ¶Г·ВєГЇВ»Г·Г®ВўВ¶Г«ВµГ§ГўВјГ¦Г·В·ГўВ№ГІ\wav\sound2.lst
D:\В°ГґГ¶Г·ВєГЇВ»Г·Г®ВўВ¶Г«ВµГ§ГўВјГ¦Г·В·ГўВ№ГІ\data\lsdefaultitemfilter.txt
%HOMEPATH%\desktop\В°ГґГ¶Г·ВєГЇВ»Г·Г®ВўВ¶Г«ВµГ§ГўВјГ¦Г·В·ГўВ№ГІ.lnk
%LOCALAPPDATA%\microsoft\internet explorer\msimgsiz.dat
%TEMP%\cabf72a\swflash64.inf

Присваивает атрибут 'скрытый' для следующих файлов

D:\В°ГґГ¶Г·ВєГЇВ»Г·Г®ВўВ¶Г«ВµГ§ГўВјГ¦Г·В·ГўВ№ГІ\baeedbecbedd.exe

Удаляет следующие файлы

D:\В°ГґГ¶Г·ВєГЇВ»Г·Г®ВўВ¶Г«ВµГ§ГўВјГ¦Г·В·ГўВ№ГІ\<Имя файла>.exe
D:\В°ГґГ¶Г·ВєГЇВ»Г·Г®ВўВ¶Г«ВµГ§ГўВјГ¦Г·В·ГўВ№ГІ\gameappr.ini
%TEMP%\cabf72a\swflash64.inf

Самоудаляется.

Сетевая активность

Подключается к

'mi####.andylab.cn':80
'43.##8.129.175':38888
'ai##ibi.cn':80
'pa#.##111pay.com':80
'do#####d.macromedia.com':80
'fp######ad2.macromedia.com':80

TCP

Запросы HTTP GET

http://mi####.andylab.cn/Users/wbcmy123/QjyWhitelist.txt
http://www.ai##ibi.cn/images/Cymgw_top8.gif
http://www.ai##ibi.cn/images/Cymgw_top9.gif
http://www.ai##ibi.cn/images/Cymgw_top10.gif
http://www.ai##ibi.cn/images/Cymgw_top2.gif
http://www.ai##ibi.cn/images/Cymgw_top11.gif
http://www.ai##ibi.cn/images/Cymgw_top12.gif
http://www.ai##ibi.cn/images/Cymgw_top13.gif
http://www.ai##ibi.cn/images/Cymgw_top14.gif
http://www.ai##ibi.cn/images/Cymgw_top15.gif
http://www.ai##ibi.cn/images/Cymgw_top16.gif
http://www.ai##ibi.cn/images/Cymgw_top31.gif
http://www.ai##ibi.cn/images/Cymgw_top17.gif
http://www.ai##ibi.cn/images/Cymgw_top23.gif
http://www.ai##ibi.cn/images/Cymgw_top20.gif
http://www.ai##ibi.cn/images/Cymgw_top22.gif
http://do#####d.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
http://www.ai##ibi.cn/images/Cymgw_top21.gif
http://www.ai##ibi.cn/images/Cymgw_box1.gif
http://fp######ad2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
http://www.ai##ibi.cn/images/Cymgw_top3.gif
http://www.ai##ibi.cn/images/Cymgw_top18.gif
http://www.ai##ibi.cn/images/Cymgw_box2.gif
http://www.ai##ibi.cn/images/Cymgw_top28.gif
http://www.ai##ibi.cn/images/Cymgw_box3.gif
http://www.ai##ibi.cn/images/Cymgw_top7.gif
http://www.ai##ibi.cn/images/Cymgw_top19.gif
http://www.ai##ibi.cn/images/Cymgw_top6.gif
http://mi####.andylab.cn/mir-ftsbmd.txt
http://mi####.andylab.cn/Users/wbcmy123/IPForwarding.txt
http://mi####.andylab.cn/Users/wbcmy123/PenaltyRules.txt
http://mi####.andylab.cn/Users/wbcmy123/Rzorder.txt
http://mi####.andylab.cn/Users/wbcmy123/YtbSetup.txt
http://www.mi##wg.com/dow.txt
http://mi####.andylab.cn/mir-zjk.txt
http://mi####.andylab.cn/Users/wbcmy123/Time.txt
http://mi####.andylab.cn/%C2%B1%C2%B1%C2%BE%C2%A9%C3%8A%C2%B1%C2%BC%C3%A4.txt
http://mi####.andylab.cn/mir-md5.txt
http://mi####.andylab.cn/mir-fwg.txt
http://mi####.andylab.cn/mir-bmd.txt
http://mi####.andylab.cn/mir-fdx.txt
http://www.ai##ibi.cn/images/Cymgw_top4.gif
http://mi####.andylab.cn/mir-bbk.txt
http://mi####.andylab.cn/VersionNumber.txt
http://mi####.andylab.cn/mir-Bigdatablacklist.txt
http://www.ai##ibi.cn/acb5200.txt
http://www.ai##ibi.cn/
http://www.ai##ibi.cn/images/Style.css
http://www.ai##ibi.cn/images/AC_RunActiveContent.js
http://www.ai##ibi.cn/images/[bbs-design.jpg
http://www.ai##ibi.cn/images/Cymgw_top1.gif
http://pa#.##111pay.com/users/usr_images/usr_code/a001.gif
http://pa#.##111pay.com/users/user_js/adjs0.js
http://www.ai##ibi.cn/images/Cymgw_top5.gif
http://www.ai##ibi.cn/images/Cymgw_top29.gif

Другие

'43.##8.129.175':38888

UDP

DNS ASK mi####.andylab.cn
DNS ASK mi##wg.com
DNS ASK ai##ibi.cn
DNS ASK bl##.hao959.com
DNS ASK a1.##dlq.com
DNS ASK pa#.##111pay.com
DNS ASK do#####d.macromedia.com
DNS ASK fp######ad2.macromedia.com

Другое

Ищет следующие окна

ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebCheckMonitor' WindowName: ''

Создает и запускает на исполнение

'D:\В°ГґГ¶Г·ВєГЇВ»Г·Г®ВўВ¶Г«ВµГ§ГўВјГ¦Г·В·ГўВ№ГІ\<Имя файла>.exe'
'D:\В°ГґГ¶Г·ВєГЇВ»Г·Г®ВўВ¶Г«ВµГ§ГўВјГ¦Г·В·ГўВ№ГІ\baeedbecbedd.exe'

Запускает на исполнение

'<SYSTEM32>\rundll32.exe' <SYSTEM32>\FirewallControlPanel.dll,ShowNotificationDialog /configure /ETOnly 0 /OnProfiles 6 /OtherAllowed 0 /OtherBlocked 0 /OtherEdgeAllowed 0 /NewBlocked 4 "D:\В°ГґГ¶Г·ВєГЇВ»Г·Г®ВўВ¶Г«ВµГ§Г...