Trojan.Siggen30.39120

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'dwm' = '"%WINDIR%\Fonts\dwm.exe"'
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'dwm' = '"%WINDIR%\Fonts\dwm.exe"'
[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "%WINDIR%\Fonts\dwm.exe"'
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] '<Имя файла>' = '"%ProgramFiles%\Windows Media Player\Media Renderer\<Имя файла>.exe"'
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] '<Имя файла>' = '"%ProgramFiles%\Windows Media Player\Media Renderer\<Имя файла>.exe"'
[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "%WINDIR%\Fonts\dwm.exe", "%ProgramFiles%\Windows Media Player\Media Renderer\<Имя файла>.exe"'
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'iexplore' = '"C:\kms\iexplore.exe"'
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'iexplore' = '"C:\kms\iexplore.exe"'
[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "%WINDIR%\Fonts\dwm.exe", "%ProgramFiles%\Windows Media Player\Media Renderer\<Имя файла>.exe", "C:\kms\iex...
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'sppsvc' = '"%ProgramFiles%\Windows Journal\en-US\sppsvc.exe"'
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'sppsvc' = '"%ProgramFiles%\Windows Journal\en-US\sppsvc.exe"'
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'System' = '"<Текущая директория>\System.exe"'
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'System' = '"<Текущая директория>\System.exe"'
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] '<Имя файла>' = '"<Полный путь к файлу>"'
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] '<Имя файла>' = '"<Полный путь к файлу>"'

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\dwmd
<SYSTEM32>\tasks\dwm
<SYSTEM32>\tasks\<Имя файла>c
<SYSTEM32>\tasks\<Имя файла>
<SYSTEM32>\tasks\iexplorei
<SYSTEM32>\tasks\iexplore
<SYSTEM32>\tasks\sppsvcs
<SYSTEM32>\tasks\systems
<SYSTEM32>\tasks\sppsvc
<SYSTEM32>\tasks\system

Изменения в файловой системе

Создает следующие файлы

<Текущая директория>\7bad7a83ef905a
%HOMEPATH%\desktop\fsgfxzqr.log
%HOMEPATH%\desktop\qaxgdlqs.log
nul
%TEMP%\lc6jgrc0mk.bat
%TEMP%\qg459mikpt
%TEMP%\haqecolf.out
%TEMP%\haqecolf.cmdline
%TEMP%\haqecolf.0.cs
%HOMEPATH%\desktop\olpadmlc.log
%WINDIR%\fonts\6cb0b6c459d5d3
%ProgramFiles%\windows media player\media renderer\7bad7a83ef905a
%ProgramFiles%\windows media player\media renderer\<Имя файла>.exe
C:\kms\9db6e019d4f04e
C:\kms\iexplore.exe
%ProgramFiles%\windows journal\en-us\0a1fd5f707cd16
%ProgramFiles%\windows journal\en-us\sppsvc.exe
<Текущая директория>\27d1bcfc3c54e0
<Текущая директория>\system.exe
%WINDIR%\fonts\dwm.exe
%HOMEPATH%\desktop\ecvktkfv.log

Удаляет следующие файлы

%TEMP%\haqecolf.out
%TEMP%\haqecolf.0.cs
%TEMP%\haqecolf.cmdline
%TEMP%\qg459mikpt

Перемещает следующие файлы

%ProgramFiles%\microsoft office\office14\bcssync.exe в %ProgramFiles%\microsoft office\office14\bcssync.exe.exe

Сетевая активность

Подключается к

'12####cm.renyash.ru':80

TCP

Запросы HTTP POST

http://12####cm.renyash.ru/VmpipeJavascript_HttpauthLongpollMultiWordpressDle.php

UDP

DNS ASK 12####cm.renyash.ru
'localhost':123

Другое

Создает и запускает на исполнение

'C:\kms\iexplore.exe'

Запускает на исполнение

'<SYSTEM32>\schtasks.exe' /create /tn "dwmd" /sc MINUTE /mo 8 /tr "'%WINDIR%\Fonts\dwm.exe'" /f
'<SYSTEM32>\cmd.exe' /C "%TEMP%\LC6Jgrc0Mk.bat" (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /create /tn "<Имя файла>c" /sc MINUTE /mo 9 /tr "'<Полный путь к файлу>'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "<Имя файла>" /sc ONLOGON /tr "'<Полный путь к файлу>'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "<Имя файла>c" /sc MINUTE /mo 10 /tr "'<Полный путь к файлу>'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "SystemS" /sc MINUTE /mo 11 /tr "'<Текущая директория>\System.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "System" /sc ONLOGON /tr "'<Текущая директория>\System.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "SystemS" /sc MINUTE /mo 6 /tr "'<Текущая директория>\System.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "sppsvcs" /sc MINUTE /mo 5 /tr "'%ProgramFiles%\Windows Journal\en-US\sppsvc.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "sppsvc" /sc ONLOGON /tr "'%ProgramFiles%\Windows Journal\en-US\sppsvc.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "sppsvcs" /sc MINUTE /mo 7 /tr "'%ProgramFiles%\Windows Journal\en-US\sppsvc.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "iexplorei" /sc MINUTE /mo 6 /tr "'C:\kms\iexplore.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "iexplore" /sc ONLOGON /tr "'C:\kms\iexplore.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "iexplorei" /sc MINUTE /mo 12 /tr "'C:\kms\iexplore.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "<Имя файла>c" /sc MINUTE /mo 8 /tr "'%ProgramFiles%\Windows Media Player\Media Renderer\<Имя файла>.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "<Имя файла>" /sc ONLOGON /tr "'%ProgramFiles%\Windows Media Player\Media Renderer\<Имя файла>.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "<Имя файла>c" /sc MINUTE /mo 7 /tr "'%ProgramFiles%\Windows Media Player\Media Renderer\<Имя файла>.exe'" /f
'%WINDIR%\microsoft.net\framework64\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\haqecolf.cmdline" (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /create /tn "dwmd" /sc MINUTE /mo 7 /tr "'%WINDIR%\Fonts\dwm.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "dwm" /sc ONLOGON /tr "'%WINDIR%\Fonts\dwm.exe'" /rl HIGHEST /f
'<SYSTEM32>\chcp.com' 65001
'<SYSTEM32>\w32tm.exe' /stripchart /computer:localhost /period:5 /dataonly /samples:2