Trojan.Siggen31.39350

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'AppSetup' = '<SYSTEM32>\cmd.exe /c start wscript.exe //E:VBScript.Encode %temp%\AppSetup.ico'

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\logo.ico
<Имя диска съемного носителя>:\delete.avi.lnk
<Имя диска съемного носителя>:\correct.avi.lnk
<Имя диска съемного носителя>:\archer.avi.lnk
<Имя диска съемного носителя>:\dashborder_120.bmp.lnk
<Имя диска съемного носителя>:\toolbar.bmp.lnk
<Имя диска съемного носителя>:\dialmap.bmp.lnk
<Имя диска съемного носителя>:\dial.bmp.lnk
<Имя диска съемного носителя>:\contosoroot.cer.lnk
<Имя диска съемного носителя>:\sdksampleunprivdeveloper.cer.lnk
<Имя диска съемного носителя>:\contoso.cer.lnk
<Имя диска съемного носителя>:\uep_form_786_bulletin_1726i602.doc.lnk
<Имя диска съемного носителя>:\february_catalogue__2015.doc.lnk
<Имя диска съемного носителя>:\ovp25012015.doc.lnk
<Имя диска съемного носителя>:\lisp_success.doc.lnk
<Имя диска съемного носителя>:\weeklysheet1215.doc.lnk
<Имя диска съемного носителя>:\cveuropeo.doc.lnk
<Имя диска съемного носителя>:\sdszfo.docx.lnk
<Имя диска съемного носителя>:\adhd_and_obesity.docx.lnk
<Имя диска съемного носителя>:\nwfieldnotes1966.docx.lnk
<Имя диска съемного носителя>:\holycrosschurchinstructions.docx.lnk
<Имя диска съемного носителя>:\glidescope_review_rev_010.docx.lnk
<Имя диска съемного носителя>:\wrar520.exe.lnk
<Имя диска съемного носителя>:\winmine.exe.lnk

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует отображение:

скрытых файлов

Создает и запускает на исполнение

'%TEMP%\tprochandler.exe' -f %TEMP%\TProcConf.db
'%TEMP%\mprochandler.exe' -c %TEMP%\MProcConf.db

Изменения в файловой системе

Создает следующие файлы

%TEMP%\appsetup.ico
%TEMP%\tprochandler.exe
%TEMP%\tprocconf.db
%TEMP%\mprochandler.exe
%TEMP%\mprocconf.db
%APPDATA%\tor\state.tmp

Присваивает атрибут 'скрытый' для следующих файлов

%TEMP%\appsetup.ico
<Имя диска съемного носителя>:\logo.ico

Перемещает следующие файлы

%APPDATA%\tor\state.tmp в %APPDATA%\tor\state

Сетевая активность

Подключается к

'localhost':50000
'localhost':49185
'19#.#34.15.58':443
'19#.#34.15.61':443
'50.#.74.173':443
'co##############e-chains.prod.autograph.services.mozaws.net':443
'17#.#12.254.192':31337
'45.#6.33.45':443
'51.##.65.160':9001
'37.##7.102.108':443
'13#.#88.40.189':443
'5.###.21.144':443
'12#.31.0.39':9101
'12.##5.151.200':9029
'17#.#7.174.14':9001

TCP

Другие

'localhost':50000
'localhost':49184
'localhost':49194
'localhost':49199
'localhost':49203

UDP

DNS ASK co##############e-chains.prod.autograph.services.mozaws.net

Другое

Создает и запускает на исполнение

'<SYSTEM32>\wscript.exe' //E:VBScript.Encode %TEMP%\AppSetup.ico

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c start wscript.exe //E:VBScript.Encode %TEMP%\AppSetup.ico (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c %TEMP%\TProcHandler.exe -f %TEMP%\TProcConf.db (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c %TEMP%\MProcHandler.exe -c %TEMP%\MProcConf.db (со скрытым окном)