Trojan.Siggen32.17440

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKLM\SOFTWARE\Classes\CLSID\{FCEA18FF-BC55-4E63-94D7-1B2EFBFE706F}\Shell\Open\Command] '' = '%ProgramFiles(x86)%\StartIsBack\StartIsBackCfg.exe'
[HKLM\SOFTWARE\Classes\sib-reactivate\shell\open\command] '' = '"%ProgramFiles(x86)%\StartIsBack\StartIsBackCfg.exe" /reactivate %1'

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\startisback health check

Вредоносные функции

Запускает на исполнение

'%WINDIR%\syswow64\taskkill.exe' /F /IM startscreen*
'%WINDIR%\syswow64\taskkill.exe' /F /IM explorer*

Завершает или пытается завершить

следующие пользовательские процессы:

firefox.exe
iexplore.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\aut8b25.tmp
%WINDIR%\temp\temp_1\restfiles\blackbunny.gif
%TEMP%\aut97d8.tmp
%WINDIR%\temp\temp_1\restfiles\setup.exe
%TEMP%\aut9846.tmp
%WINDIR%\temp\temp_1\restfiles\reg.reg
%TEMP%\aut9847.tmp
%WINDIR%\temp\temp_1\restfiles\crack.exe
%TEMP%\aut9867.tmp
%WINDIR%\temp\temp_1\restfiles\crack64.exe
%TEMP%\sibsfx.e9290e34\orbs\shamrock.orb
%TEMP%\sibsfx.e9290e34\orbs\startisback_ei8htorb_v2_by_painter.bmp
%TEMP%\sibsfx.e9290e34\orbs\windows 7.orb
%TEMP%\sibsfx.e9290e34\styles\plain10.msstyles
%TEMP%\sibsfx.e9290e34\styles\plain8.msstyles
%TEMP%\sibsfx.e9290e34\styles\windows 7.msstyles
%TEMP%\sibsfx.e9290e34\startisback32.dll
%TEMP%\sibsfx.e9290e34\startisback64.dll
%TEMP%\sibsfx.e9290e34\startisbackarm64.dll
%TEMP%\sibsfx.e9290e34\startisbackcfg.exe
%TEMP%\sibsfx.e9290e34\startscreen.exe
%TEMP%\sibsfx.e9290e34\updatecheck.exe
%ProgramFiles(x86)%\startisback\startisback32.dll
%ProgramFiles(x86)%\startisback\startisbackcfg.exe
%ProgramFiles(x86)%\startisback\startscreen.exe
%ProgramFiles(x86)%\startisback\updatecheck.exe
%ProgramFiles(x86)%\startisback\startisback64.dll
%ProgramFiles(x86)%\startisback\orbs\shamrock.orb
%ProgramFiles(x86)%\startisback\orbs\startisback_ei8htorb_v2_by_painter.bmp
%ProgramFiles(x86)%\startisback\orbs\windows 7.orb
%ProgramFiles(x86)%\startisback\styles\plain10.msstyles
%ProgramFiles(x86)%\startisback\styles\plain8.msstyles
%ProgramFiles(x86)%\startisback\styles\windows 7.msstyles
%TEMP%\sibtask.xml
%ProgramFiles(x86)%\startisback\msimg32.dll
\device\harddiskvolume1\boot\bcd.log
\device\harddiskvolume1\boot\bcd

Удаляет файлы, которые сам же создал

%TEMP%\aut8b25.tmp
%TEMP%\aut97d8.tmp
%TEMP%\aut9846.tmp
%TEMP%\aut9847.tmp
%TEMP%\aut9867.tmp

Изменяет следующие файлы

%LOCALAPPDATA%\microsoft\penworkspace\discovercachedata.dat

Другое

Ищет следующие окна

ClassName: '' WindowName: ''
ClassName: 'RegEdit_RegEdit' WindowName: ''
ClassName: 'EDIT' WindowName: ''

Создает и запускает на исполнение

'%WINDIR%\temp\temp_1\restfiles\setup.exe' /elevated /silent
'%TEMP%\sibsfx.e9290e34\startisbackcfg.exe' /install /elevated /silent
'%TEMP%\sibsfx.e9290e34\startscreen.exe' /stop
'%WINDIR%\temp\temp_1\restfiles\crack64.exe'
'%ProgramFiles(x86)%\startisback\startscreen.exe' /check

Запускает на исполнение

'%WINDIR%\syswow64\schtasks.exe' /Create /TN "\StartIsBack health check" /XML "%TEMP%\sibtask.xml" (со скрытым окном)
'%WINDIR%\syswow64\regedit.exe' /S Reg.reg
'%TEMP%\sibsfx.e9290e34\startisbackcfg.exe' /install /elevated /silent (со скрытым окном)
'%TEMP%\sibsfx.e9290e34\startscreen.exe' /stop (со скрытым окном)
'%WINDIR%\syswow64\taskkill.exe' /F /IM startscreen* (со скрытым окном)
'%WINDIR%\syswow64\taskkill.exe' /F /IM explorer* (со скрытым окном)

Пытается завершить работу операционной системы Windows.