Trojan.Siggen31.53867

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'kjzm' = '%WINDIR%\ES4\kjzm.exe'
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] '驱动还原' = '%WINDIR%\driver_restore.exe'
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'del_es4' = 'cmd.exe /c rd /s/q %WINDIR%\ES4'

Устанавливает следующие настройки сервисов

[HKLM\SYSTEM\ControlSet001\services\WSearch] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\services\WSearch] 'Start' = '00000002'

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует отображение:

скрытых файлов
расширений файлов

блокирует запуск следующих системных утилит:

Обновления системы (Windows Update)

Запускает на исполнение

'<SYSTEM32>\taskkill.exe' -f -im TsService.exe
'<SYSTEM32>\taskkill.exe' -f -im Baidu.exe
'<SYSTEM32>\taskkill.exe' -f -im BaiduClientRender.exe
'<SYSTEM32>\taskkill.exe' -f -im QQBrowser.exe
'<SYSTEM32>\taskkill.exe' -f -im QyKernel.exe
'<SYSTEM32>\taskkill.exe' -f -im QQMicroGameBoxService.exe
'<SYSTEM32>\taskkill.exe' -f -im QQMGBWebserver.exe
'<SYSTEM32>\taskkill.exe' -f -im XLLiveUD.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\aut9da.tmp
%TEMP%\aut20ed.tmp
%TEMP%\aut2227.tmp
%WINDIR%\reboot.exe

Другое

Создает и запускает на исполнение

'%WINDIR%\reboot.exe'

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c regsvr32 /u /s igfxpph.dll (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c regsvr32 /u /s nvcpl.dll (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c regsvr32 /u /s igfxsrvc.dll (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c regsvr32 /u /s atiacmxx.dll (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c regsvr32 /u /s atiacm64.dll (со скрытым окном)
'<SYSTEM32>\regsvr32.exe' /u /s igfxpph.dll
'<SYSTEM32>\regsvr32.exe' /u /s atiacm64.dll
'<SYSTEM32>\regsvr32.exe' /u /s igfxsrvc.dll
'<SYSTEM32>\regsvr32.exe' /u /s nvcpl.dll
'<SYSTEM32>\regsvr32.exe' /u /s atiacmxx.dll
'<SYSTEM32>\cmd.exe' /c ipconfig /release (со скрытым окном)
'<SYSTEM32>\ipconfig.exe' /release
'<SYSTEM32>\cmd.exe' /c bcdedit /timeout 6 (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c bcdedit /set {default} bootmenupolicy legacy (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c sc stop wuauserv (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c sc config wuauserv start= DISABLED (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c sc stop BITS (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c sc config BITS start= DISABLED (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c sc config WSearch start= DISABLED (со скрытым окном)
'<SYSTEM32>\bcdedit.exe' /timeout 6
'<SYSTEM32>\sc.exe' config BITS start= DISABLED
'<SYSTEM32>\bcdedit.exe' /set {default} bootmenupolicy legacy
'<SYSTEM32>\sc.exe' stop wuauserv
'<SYSTEM32>\sc.exe' config wuauserv start= DISABLED
'<SYSTEM32>\sc.exe' config WSearch start= DISABLED
'<SYSTEM32>\sc.exe' stop BITS
'<SYSTEM32>\rundll32.exe' USER32.DLL,UpdatePerUserSystemParameters
'<SYSTEM32>\cmd.exe' /c ping 127.0.0.1 -n 3&del /q "<Полный путь к файлу>" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c gpupdate /force (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c taskkill -f -im Baidu.exe (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c taskkill -f -im BaiduClientRender.exe (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c taskkill -f -im QyKernel.exe (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c taskkill -f -im QQMicroGameBoxService.exe (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c taskkill -f -im TsService.exe (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c taskkill -f -im QQMGBWebserver.exe (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c taskkill -f -im QQBrowser.exe (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c taskkill -f -im XLLiveUD.exe (со скрытым окном)
'<SYSTEM32>\ping.exe' 127.0.0.1 -n 3
'<SYSTEM32>\gpupdate.exe' /force