Trojan.Siggen30.56166

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKLM\SOFTWARE\Wow6432Node\MICROSOFT\WINDOWS\CurrentVersion\RUN] 'svhost.exe' = '%WINDIR%\system\svhost.exe'
[HKLM\SOFTWARE\Wow6432Node\MICROSOFT\WINDOWS\CurrentVersion\RUN] 'razor.exe' = '<SYSTEM32>\razor.exe'
[HKLM\SOFTWARE\Wow6432Node\MICROSOFT\WINDOWS\CurrentVersion\RUN] 'rz.scr' = '<SYSTEM32>\Restore\rz.scr'
[HKLM\SOFTWARE\Wow6432Node\MICROSOFT\WINDOWS\CurrentVersion\RUN] 'ami.exe' = '<SYSTEM32>\ami.exe'

Устанавливает следующие настройки сервисов

Создает следующие сервисы

Создает следующие файлы на съемном носителе

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует:

Запускает на исполнение

Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.

Изменения в файловой системе

Создает следующие файлы

%WINDIR%\syswow64\restore\rstrlog.dat
%WINDIR%\syswow64\razor.txt
%WINDIR%\syswow64\razor.exe
%WINDIR%\system\svhost.exe
%WINDIR%\syswow64\restore\rz.scr
%WINDIR%\syswow64\ami.exe
C:\documents and settings\all users\documents\sex.scr
C:\documents and settings\all users\documents\linkin park.scr
%ProgramFiles%\mozilla firefox\browserconfig.properties
%HOMEPATH%\my documents\sex.scr
C:\new folder.exe
<SYSTEM32>\microsoft\protect\s-1-5-20\24e9744b-82c4-4b78-b0a8-429e3c6a35c0
<SYSTEM32>\microsoft\protect\s-1-5-20\preferred
%ALLUSERSPROFILE%\microsoft\crypto\rsa\machinekeys\f686aace6942fb7f7ceb231212eef4a4_0cb67e2f-dc95-45ca-8fb8-69bde8e3f814

Присваивает атрибут 'скрытый' для следующих файлов

Сетевая активность

Подключается к

TCP

Запросы HTTP GET

UDP

Другое

Ищет следующие окна

Запускает на исполнение

'%WINDIR%\syswow64\net.exe' start telnet (со скрытым окном)
'%WINDIR%\syswow64\net.exe' Start SharedAccess (со скрытым окном)
'%WINDIR%\syswow64\ping.exe' 21#.#63.137.3 -l 65500 -t (со скрытым окном)
'%WINDIR%\syswow64\net1.exe' localgroup administrators TLOTD /add
'%WINDIR%\syswow64\net1.exe' user TLOTD tdwworm /add
'%WINDIR%\syswow64\net1.exe' start telnet
'%WINDIR%\syswow64\net1.exe' Start SharedAccess
'%WINDIR%\syswow64\net.exe' localgroup administrators TLOTD /add (со скрытым окном)
'%WINDIR%\syswow64\net.exe' user TLOTD tdwworm /add (со скрытым окном)