Trojan.Siggen31.30067

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'sppsvc' = '"C:\kms\sppsvc.exe"'
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'sppsvc' = '"C:\kms\sppsvc.exe"'
[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "C:\kms\sppsvc.exe"'
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'Idle' = '"%ProgramFiles%\Microsoft SQL Server Compact Edition\v3.5\Desktop\Idle.exe"'
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'Idle' = '"%ProgramFiles%\Microsoft SQL Server Compact Edition\v3.5\Desktop\Idle.exe"'
[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "C:\kms\sppsvc.exe", "%ProgramFiles%\Microsoft SQL Server Compact Edition\v3.5\Desktop\Idle.exe"'
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'spoolsv' = '"%WINDIR%\Resources\Themes\Aero\Shell\NormalColor\spoolsv.exe"'
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'spoolsv' = '"%WINDIR%\Resources\Themes\Aero\Shell\NormalColor\spoolsv.exe"'
[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "C:\kms\sppsvc.exe", "%ProgramFiles%\Microsoft SQL Server Compact Edition\v3.5\Desktop\Idle.exe", "%WINDIR%...
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'dwm' = '"C:\Users\Public\Videos\Sample Videos\dwm.exe"'
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'dwm' = '"C:\Users\Public\Videos\Sample Videos\dwm.exe"'
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'csrss' = '"C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\csrss.exe"'
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'csrss' = '"C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\csrss.exe"'

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\sppsvcs
<SYSTEM32>\tasks\sppsvc
<SYSTEM32>\tasks\idlei
<SYSTEM32>\tasks\idle
<SYSTEM32>\tasks\spoolsvs
<SYSTEM32>\tasks\spoolsv
<SYSTEM32>\tasks\dwmd
<SYSTEM32>\tasks\dwm
<SYSTEM32>\tasks\csrss
<SYSTEM32>\tasks\csrssc

Изменения в файловой системе

Создает следующие файлы

%TEMP%\launcherr.exe
nul
%TEMP%\x5ukerzg6p.bat
%TEMP%\myk79bdcxg
%TEMP%\2352xs1l.out
%TEMP%\2352xs1l.cmdline
%TEMP%\2352xs1l.0.cs
C:\recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\886983d96e3d3e
C:\recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\csrss.exe
C:\users\public\videos\sample videos\6cb0b6c459d5d3
C:\users\public\videos\sample videos\dwm.exe
%WINDIR%\resources\themes\aero\shell\normalcolor\f3b6ecef712a24
%WINDIR%\resources\themes\aero\shell\normalcolor\spoolsv.exe
%ProgramFiles%\microsoft sql server compact edition\v3.5\desktop\6ccacd8608530f
%ProgramFiles%\microsoft sql server compact edition\v3.5\desktop\idle.exe
C:\kms\0a1fd5f707cd16
C:\kms\sppsvc.exe
%HOMEPATH%\desktop\diinmhrf.log
%HOMEPATH%\desktop\fbnixhpl.log
C:\browserdriversessioncrtcommon\xxiv5a1xajbewr3dq4o0a4hqbsutvd5ovmcywergkupak5bvwhyt4pp.bat
C:\browserdriversessioncrtcommon\1pjrsij6xpj9z5lhivqsi8wxhyck82um.vbe
C:\browserdriversessioncrtcommon\refcommon.exe
%HOMEPATH%\desktop\txhydjzc.log
%HOMEPATH%\desktop\bxuofsca.log

Удаляет следующие файлы

%TEMP%\2352xs1l.cmdline
%TEMP%\2352xs1l.out
%TEMP%\2352xs1l.0.cs
%TEMP%\myk79bdcxg

Перемещает следующие файлы

%ProgramFiles%\microsoft office\office14\bcssync.exe в %ProgramFiles%\microsoft office\office14\bcssync.exe.exe

Сетевая активность

Подключается к

'91.##.46.179':7592
'co##############e-chains.prod.autograph.services.mozaws.net':443
'91.##.46.179':80

TCP

Запросы HTTP GET

http://91.##.46.179:7592/launcherr.exe via 91.##.46.179

Запросы HTTP POST

http://91.##.46.179/PipejsCpudbtemporary.php

UDP

DNS ASK co##############e-chains.prod.autograph.services.mozaws.net

Другое

Ищет следующие окна

ClassName: 'EDIT' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\launcherr.exe'
'%WINDIR%\syswow64\wscript.exe' "C:\Browserdriversessioncrtcommon\1PjRSiJ6xpJ9Z5LhIvqsi8wXhYCK82Um.vbe"
'C:\browserdriversessioncrtcommon\refcommon.exe'
'%ProgramFiles%\microsoft sql server compact edition\v3.5\desktop\idle.exe'

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c ""C:\Browserdriversessioncrtcommon\xxIv5a1xAjBeWR3DQ4O0A4hQBsUtvd5oVmCYweRgKuPaK5BVwhYT4pp.bat" " (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C "%TEMP%\x5ukeRZg6p.bat" (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /create /tn "csrssc" /sc MINUTE /mo 13 /tr "'C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\csrss.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "csrss" /sc ONLOGON /tr "'C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\csrss.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "csrssc" /sc MINUTE /mo 8 /tr "'C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\csrss.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "dwmd" /sc MINUTE /mo 10 /tr "'C:\Users\Public\Videos\Sample Videos\dwm.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "dwm" /sc ONLOGON /tr "'C:\Users\Public\Videos\Sample Videos\dwm.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "dwmd" /sc MINUTE /mo 14 /tr "'C:\Users\Public\Videos\Sample Videos\dwm.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "spoolsvs" /sc MINUTE /mo 12 /tr "'%WINDIR%\Resources\Themes\Aero\Shell\NormalColor\spoolsv.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "spoolsv" /sc ONLOGON /tr "'%WINDIR%\Resources\Themes\Aero\Shell\NormalColor\spoolsv.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "spoolsvs" /sc MINUTE /mo 11 /tr "'%WINDIR%\Resources\Themes\Aero\Shell\NormalColor\spoolsv.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "IdleI" /sc MINUTE /mo 7 /tr "'%ProgramFiles%\Microsoft SQL Server Compact Edition\v3.5\Desktop\Idle.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "Idle" /sc ONLOGON /tr "'%ProgramFiles%\Microsoft SQL Server Compact Edition\v3.5\Desktop\Idle.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "IdleI" /sc MINUTE /mo 12 /tr "'%ProgramFiles%\Microsoft SQL Server Compact Edition\v3.5\Desktop\Idle.exe'" /f
'%WINDIR%\microsoft.net\framework64\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\2352xs1l.cmdline" (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /create /tn "sppsvcs" /sc MINUTE /mo 12 /tr "'C:\kms\sppsvc.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "sppsvc" /sc ONLOGON /tr "'C:\kms\sppsvc.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "sppsvcs" /sc MINUTE /mo 8 /tr "'C:\kms\sppsvc.exe'" /f
'<SYSTEM32>\chcp.com' 65001
'<SYSTEM32>\ping.exe' -n 10 localhost