Trojan.Siggen31.33805

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'winxgz' = '"%APPDATA%\archsoft\arustart.exe" autostart'

Вредоносные функции

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: 'FileMonClass', WindowName: ''
ClassName: 'RegMonClass', WindowName: ''
ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''

Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.

Изменения в файловой системе

Создает следующие файлы

%TEMP%\nsyc81f.tmp
%APPDATA%\archsoft\scroll.css
%APPDATA%\archsoft\wfont.ttf
%APPDATA%\archsoft\winzipvinfo
%TEMP%\nsjcacf.tmp\puhovskoy372.kamr.tsp
%TEMP%\nsjcacf.tmp\release.dll
%APPDATA%\archsoft\puhovskoy372.kamr
%TEMP%\nsjcacf.tmp\kamenatorov837.kamr.tsp
%APPDATA%\archsoft\kamenatorov837.kamr
%TEMP%\nsjcacf.tmp\nikitskaya72.kamr.tsp
%APPDATA%\archsoft\nikitskaya72.kamr
%TEMP%\nsjcacf.tmp\system.dll
%ALLUSERSPROFILE%\temp:bf14d50a
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\index.dat
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\0ts1wyj0\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\xqmecmnl\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\6kicp3r2\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\lts43bci\desktop.ini
%APPDATA%\archsoft\sb-v-scroll-prev.png
%APPDATA%\microsoft\windows\cookies\low\index.dat
%APPDATA%\archsoft\sb-v-scroll-next.png
%APPDATA%\archsoft\sb-scroll-base.png
%APPDATA%\archsoft\_todel.png
%APPDATA%\archsoft\_todel2.png
%APPDATA%\archsoft\_todel3.png
%APPDATA%\archsoft\_todel4.png
%APPDATA%\archsoft\_todel5.png
%APPDATA%\archsoft\_todel6.png
%APPDATA%\archsoft\_todel7.png
%APPDATA%\archsoft\_todel8.png
%APPDATA%\archsoft\bander.png
%APPDATA%\archsoft\dir.png
%APPDATA%\archsoft\dot.gif
%APPDATA%\archsoft\htmlayout.dll
%APPDATA%\archsoft\kamenatorov837
%APPDATA%\archsoft\logo.png
%APPDATA%\archsoft\logo2.png
%APPDATA%\archsoft\nikitskaya72
%APPDATA%\archsoft\puhovskoy372
%APPDATA%\archsoft\rubashka.css
%APPDATA%\archsoft\sb-h-scroll-next.png
%APPDATA%\archsoft\sb-h-scroll-prev.png
%APPDATA%\archsoft\sb-scroll-back.png
%APPDATA%\archsoft\sb-scroll-slider.png
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\index.dat

Присваивает атрибут 'скрытый' для следующих файлов

%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\0ts1wyj0\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\xqmecmnl\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\6kicp3r2\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\lts43bci\desktop.ini

Удаляет следующие файлы