Trojan.Siggen32.26838

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'Load' = '%APPDATA%\Microsoft\Windows\DwiDesk\Adobe Helper.lnk'

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\windowshotkeys

Вредоносные функции

Внедряет код в

следующие системные процессы:

%WINDIR%\microsoft.net\framework\v4.0.30319\regasm.exe
%WINDIR%\microsoft.net\framework\v4.0.30319\msbuild.exe

Патчит код

в динамической библиотеке

Процесс flashplayer27pp_ka_install.exe, модуль MZђ

Завершает или пытается завершить

следующие системные процессы:

%WINDIR%\microsoft.net\framework\v4.0.30319\msbuild.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\flashplayer27pp_ka_install.exe
%APPDATA%\microsoft\windows\dwidesk\%decry%.txt
%APPDATA%\microsoft\windows\dwidesk\adobe helper.exe
%TEMP%\adobe_admlogs\adobe_adm.log
%LOCALAPPDATA%\microsoft\clr_v4.0_32\usagelogs\<Имя файла>.exe.log
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\jd5v12sm\160[1]
%APPDATA%\adobe helper.lnk
%LOCALAPPDATA%\adobe\bd88b512-e6c5-4e2b-a384-17fab498488c\warning_icon_200.png
%LOCALAPPDATA%\adobe\bd88b512-e6c5-4e2b-a384-17fab498488c\status_icon_caution_200.png
%LOCALAPPDATA%\adobe\bd88b512-e6c5-4e2b-a384-17fab498488c\status_icon_caution_100.png
%LOCALAPPDATA%\adobe\bd88b512-e6c5-4e2b-a384-17fab498488c\status_icon_caution_125.png
%LOCALAPPDATA%\adobe\bd88b512-e6c5-4e2b-a384-17fab498488c\status_icon_caution_150.png
%LOCALAPPDATA%\adobe\bd88b512-e6c5-4e2b-a384-17fab498488c\status_icon_x_200.png
%LOCALAPPDATA%\adobe\bd88b512-e6c5-4e2b-a384-17fab498488c\status_icon_x_100.png
%LOCALAPPDATA%\adobe\bd88b512-e6c5-4e2b-a384-17fab498488c\status_icon_x_125.png
%LOCALAPPDATA%\adobe\bd88b512-e6c5-4e2b-a384-17fab498488c\status_icon_x_150.png
%LOCALAPPDATA%\adobe\bd88b512-e6c5-4e2b-a384-17fab498488c\status_icon_check_200.png
%LOCALAPPDATA%\adobe\bd88b512-e6c5-4e2b-a384-17fab498488c\status_icon_check_100.png
%LOCALAPPDATA%\adobe\bd88b512-e6c5-4e2b-a384-17fab498488c\status_icon_check_125.png
%LOCALAPPDATA%\adobe\bd88b512-e6c5-4e2b-a384-17fab498488c\status_icon_check_150.png
%LOCALAPPDATA%\adobe\bd88b512-e6c5-4e2b-a384-17fab498488c\progressbar_darkgray_base_200.png
%LOCALAPPDATA%\adobe\bd88b512-e6c5-4e2b-a384-17fab498488c\progressbar_darkgray_base_100.png
%LOCALAPPDATA%\adobe\bd88b512-e6c5-4e2b-a384-17fab498488c\progressbar_blue_active_200.png
%LOCALAPPDATA%\adobe\bd88b512-e6c5-4e2b-a384-17fab498488c\progressbar_blue_active_100.png
%LOCALAPPDATA%\adobe\bd88b512-e6c5-4e2b-a384-17fab498488c\progressbar_blue_active_125.png
%LOCALAPPDATA%\adobe\bd88b512-e6c5-4e2b-a384-17fab498488c\progressbar_blue_active_150.png
%LOCALAPPDATA%\adobe\bd88b512-e6c5-4e2b-a384-17fab498488c\transparent.gif
%LOCALAPPDATA%\adobe\bd88b512-e6c5-4e2b-a384-17fab498488c\gray_button_200.png
%LOCALAPPDATA%\adobe\bd88b512-e6c5-4e2b-a384-17fab498488c\close_200.png
%LOCALAPPDATA%\adobe\bd88b512-e6c5-4e2b-a384-17fab498488c\progressbar_pole_null_200.png
%LOCALAPPDATA%\adobe\bd88b512-e6c5-4e2b-a384-17fab498488c\progressbar_pole_null_100.png
%LOCALAPPDATA%\adobe\bd88b512-e6c5-4e2b-a384-17fab498488c\progressbar_pole_null_125.png
%LOCALAPPDATA%\adobe\bd88b512-e6c5-4e2b-a384-17fab498488c\progressbar_pole_null_150.png
%LOCALAPPDATA%\adobe\bd88b512-e6c5-4e2b-a384-17fab498488c\yellow_button_200.png
%LOCALAPPDATA%\adobe\bd88b512-e6c5-4e2b-a384-17fab498488c\yellow_button_100.png
%LOCALAPPDATA%\adobe\bd88b512-e6c5-4e2b-a384-17fab498488c\yellow_button_125.png
%LOCALAPPDATA%\adobe\bd88b512-e6c5-4e2b-a384-17fab498488c\yellow_button_150.png
%LOCALAPPDATA%\adobe\bd88b512-e6c5-4e2b-a384-17fab498488c\yellow_button_mini_200.png
%LOCALAPPDATA%\adobe\bd88b512-e6c5-4e2b-a384-17fab498488c\yellow_button_mini_100.png
%LOCALAPPDATA%\adobe\bd88b512-e6c5-4e2b-a384-17fab498488c\yellow_button_mini_125.png
%LOCALAPPDATA%\adobe\bd88b512-e6c5-4e2b-a384-17fab498488c\yellow_button_mini_150.png
%LOCALAPPDATA%\adobe\bd88b512-e6c5-4e2b-a384-17fab498488c\yellow_button_short_200.png
%LOCALAPPDATA%\adobe\bd88b512-e6c5-4e2b-a384-17fab498488c\yellow_button_short_100.png
%LOCALAPPDATA%\adobe\bd88b512-e6c5-4e2b-a384-17fab498488c\yellow_button_short_125.png
%LOCALAPPDATA%\adobe\bd88b512-e6c5-4e2b-a384-17fab498488c\yellow_button_short_150.png
%LOCALAPPDATA%\adobe\bd88b512-e6c5-4e2b-a384-17fab498488c\info_icon_100.png
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\33kzg8rm\sc[1]
%TEMP%\adobe_admlogs\adobe_gde.log
%LOCALAPPDATA%\microsoft\internet explorer\msimgsiz.dat
%LOCALAPPDATA%\microsoft\clr_v4.0_32\usagelogs\msbuild.exe.log

Удаляет файлы, которые сам же создал

%APPDATA%\microsoft\windows\dwidesk\%decry%.txt

Перемещает следующие файлы

%APPDATA%\adobe helper.lnk в %APPDATA%\microsoft\windows\dwidesk\adobe helper.lnk

Сетевая активность

Подключается к

'get.adobe.com':443
'17#.#11.160.213':10134

TCP

Другие

'get.adobe.com':443
'adobe.com':443

UDP

DNS ASK get.adobe.com
DNS ASK adobe.com

Другое

Ищет следующие окна

ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebCheckMonitor' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\flashplayer27pp_ka_install.exe'
'%APPDATA%\microsoft\windows\dwidesk\adobe helper.exe' -n

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c reg add "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce" /v "Load" /d "%APPDATA%\Microsoft\Windows\DwiDesk\Adobe Helper.lnk" /f (со скрытым окном)
'%WINDIR%\syswow64\reg.exe' add "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce" /v "Load" /d "%APPDATA%\Microsoft\Windows\DwiDesk\Adobe Helper.lnk" /f
'%WINDIR%\microsoft.net\framework\v4.0.30319\regasm.exe'
'%WINDIR%\microsoft.net\framework\v4.0.30319\msbuild.exe'
'%APPDATA%\microsoft\windows\dwidesk\adobe helper.exe' -n (со скрытым окном)