Trojan.Siggen6.1126

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'load' = 'flymy.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run] '360safe' = '<SYSTEM32>\sdfi\spool.vbs'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'fcnw' = '<SYSTEM32>\jlylfion.exe'

Создает следующие сервисы:

[<HKCU>\SYSTEM\CurrentControlSet\Services\AB1F0929] 'ImagePath' = '%WINDIR%\Fonts\1D6907CA.EXE -k'
[<HKLM>\SYSTEM\ControlSet001\Services\ggq] 'Start' = '00000000'
[<HKLM>\SYSTEM\ControlSet001\Services\AB1F0929] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\AB1F0929] 'ImagePath' = '%WINDIR%\Fonts\1D6907CA.EXE -k'

Вредоносные функции:

Создает и запускает на исполнение:

Запускает на исполнение:

'%PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE' http://ai##dlwg.cn
'<SYSTEM32>\ping.exe' -n 2 127.0.0.1
'<SYSTEM32>\cmd.exe' /c <SYSTEM32>\hrraucllv.bat
'<SYSTEM32>\attrib.exe' +a +s +h <SYSTEM32>\sdfi
'<SYSTEM32>\rundll32.exe' fly1957.dll , InstallMyDll
'<SYSTEM32>\cmd.exe' /c <SYSTEM32>\jrvkjm.bat
'%WINDIR%\regedit.exe' /s 11.reg
'<SYSTEM32>\ping.exe' -n 3 127.0.0.1
'%PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE' http://da##i1.cn/d/a200958201a42.asp?ss#####################
'<SYSTEM32>\cmd.exe' /c %WINDIR%\Fonts\copy2090000.bat
'<SYSTEM32>\wscript.exe' "%TEMP%\RarSFX0\2.vbs"
'<SYSTEM32>\cmd.exe' /c <SYSTEM32>\xzjrney.bat
'%PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE' http://www.ba##u.com/s?wd############
'<SYSTEM32>\cmd.exe' /c <SYSTEM32>\nqdmdw.bat
'<SYSTEM32>\wscript.exe' "<SYSTEM32>\sdfi\3.vbs"

Внедряет код в

следующие системные процессы:

Изменения в файловой системе:

Создает следующие файлы:

<SYSTEM32>\xzjrney.bat
<SYSTEM32>\czablqe.exe
<SYSTEM32>\nqdmdw.bat
%HOMEPATH%\Local Settings\Temporary Internet Files\_inimac
%PROGRAM_FILES%\Microsoft Office\SYSTEM\17.exe
<SYSTEM32>\sdfi\spool.vbs
%TEMP%\nse3.tmp\System.dll
<SYSTEM32>\sdfi\3.vbs
<SYSTEM32>\sdfi\3.bat
%WINDIR%\Fonts\5F1C2F61.DLL
<SYSTEM32>\fly1957.dll
<SYSTEM32>\jrvkjm.bat
<SYSTEM32>\flymy.exe
<SYSTEM32>\dllcache\fly1957.dll
<SYSTEM32>\hrraucllv.bat
<SYSTEM32>\jlylfion.exe
%APPDATA%\Microsoft\Internet Explorer\Quick Launch\Жф¶Ї Internet Explorer дЇААЖч.lnk
<DRIVERS>\ggq.sys
<SYSTEM32>\jlylfion.dll
<SYSTEM32>\sdfi\down31.bat
%TEMP%\RarSFX0\1.vbs
%TEMP%\RarSFX0\88IE.exe
%TEMP%\RarSFX0\time.exe
%TEMP%\RarSFX0\5685.exe
%TEMP%\RarSFX0\288IE.exe
%TEMP%\RarSFX0\2.bat
%TEMP%\RarSFX0\2.vbs
%TEMP%\RarSFX0\45.exe
%TEMP%\RarSFX0\88IG.exe
%TEMP%\RarSFX0\setup_7.exe
%HOMEPATH%\Favorites\5173.com.url
%WINDIR%\Fonts\s3sds212.dat
<SYSTEM32>\sdfi\11.reg
%HOMEPATH%\Favorites\www.5173.com.url
%WINDIR%\Fonts\1D6907CA.EXE
%WINDIR%\Fonts\copy2090000.bat
%TEMP%\RarSFX0\feifei.exe
C:\a200958201a42.exe
C:\581.exe