Trojan.Siggen32.27371

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'shandian' = '%ProgramFiles(x86)%\shandian\shandian.exe'

Вредоносные функции

Патчит код

в динамической библиотеке

Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.

Изменения в файловой системе

Создает следующие файлы

%TEMP%\nsw4061.tmp\system.dll
%TEMP%\nsw4061.tmp\config0.ini
%TEMP%\nsw4061.tmp\xid.dll
%TEMP%\nsw4061.tmp\md5dll.dll
%TEMP%\nsw4061.tmp\bind.dll
%ProgramFiles(x86)%\shandian\home.bat
%ProgramFiles(x86)%\shandian\shandian.exe
%ProgramFiles(x86)%\shandian\bin\sdad.exe
%ProgramFiles(x86)%\shandian\bin\shandian.exe
%ProgramFiles(x86)%\shandian\bin\shandian.ini
%ProgramFiles(x86)%\shandian\ico\360.ico
%ProgramFiles(x86)%\shandian\ico\anquan.ico
%ProgramFiles(x86)%\shandian\ico\ie.ico
%ProgramFiles(x86)%\shandian\ico\taobao.ico
%ProgramFiles(x86)%\shandian\config.ini
%ProgramFiles(x86)%\shandian\uninst.exe
%APPDATA%\microsoft\internet explorer\quick launch\Г©ГЎВµГ§Г¤ВЇГ Г Г¦Г·.lnk
%HOMEPATH%\desktop\Г©ГЎВµГ§Г¤ВЇГ Г Г¦Г·.lnk
%APPDATA%\microsoft\windows\start menu\programs\Г©ГЎВµГ§Г¤ВЇГ Г Г¦Г·\Г©ГЎВµГ§Г¤ВЇГ Г Г¦Г·.lnk
%APPDATA%\microsoft\windows\start menu\programs\Г©ГЎВµГ§Г¤ВЇГ Г Г¦Г·\Г°В¶ГґГёГ©ГЎВµГ§Г¤ВЇГ Г Г¦Г·.lnk
%HOMEPATH%\desktop\360В°ВІГЁВ«Г¤ВЇГ Г Г¦Г·.lnk
%HOMEPATH%\desktop\internet explorer.lnk
%ProgramFiles%\shandian\bin\theworld.ac
%ProgramFiles(x86)%\shandian\bin\shandian.ini.tmp
%ProgramFiles%\shandian\bin\twcache.ini
%LOCALAPPDATA%\microsoft\internet explorer\msimgsiz.dat

Присваивает атрибут 'скрытый' для следующих файлов

Удаляет файлы, которые сам же создал

%ProgramFiles(x86)%\shandian\bin\shandian.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\owqw8kdd\http_404_weboc[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\77ot75l1\errorpagetemplate[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\77ot75l1\navierr[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\77ot75l1\twwebdefine[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\77ot75l1\info_1[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\owqw8kdd\browser-bar[1].png
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\77ot75l1\cf-no-screenshot-error[1].png
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\77ot75l1\callapse[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\owqw8kdd\errorpagetemplate[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\owqw8kdd\expand[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\77ot75l1\forbidframing[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\syb4ja91\errorpagetemplate[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\owqw8kdd\errorpagestrings[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\owqw8kdd\httperrorpagesscripts[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\77ot75l1\red_x[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\syb4ja91\bullet[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\331cr4a4\background_gradient[1]
%TEMP%\nsw4061.tmp\bind.dll
%TEMP%\nsw4061.tmp\config0.ini
%TEMP%\nsw4061.tmp\md5dll.dll
%TEMP%\nsw4061.tmp\system.dll
%TEMP%\nsw4061.tmp\xid.dll

Перемещает следующие файлы

%ProgramFiles(x86)%\shandian\bin\shandian.ini.tmp в %ProgramFiles(x86)%\shandian\bin\shandian.ini

Подменяет следующие файлы

Сетевая активность

Подключается к

TCP

Запросы HTTP GET

http://st##.fjmjm.com/stat/?v=###################################################################################
http://st##.fjmjm.com/stat/?ac##############################################################################
http://www.jl##h.com/
http://w.##zz.com/c.php?id#########
http://www.fj##m.com/web/frame_naverror.html
http://www.fj##m.com/web/PopWinParam.asp?d=########################################################

UDP

Другое

Ищет следующие окна

Создает и запускает на исполнение

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c ""%ProgramFiles(x86)%\shandian\home.bat" " (со скрытым окном)
'%WINDIR%\syswow64\reg.exe' add "HKCR\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\OpenHomePage\Command" /v "" /t reg_expand_sz /d "%ProgramFiles%\Internet Explorer\iexplore.exe http://www.jlbnh.com/?tn 2" /f
'%WINDIR%\syswow64\reg.exe' add "HKCU\SOFTWARE\Policies\Microsoft\Internet Explorer\Main" /v "Start Page" /d "http://www.jlbnh.com/?tn 2" /f
'%WINDIR%\syswow64\reg.exe' add "HKCU\SOFTWARE\Microsoft\Internet Explorer\Main" /v "Start Page" /d "http://www.jlbnh.com/?tn 2" /f
'%ProgramFiles(x86)%\shandian\bin\shandian.exe' (со скрытым окном)
'%ProgramFiles(x86)%\shandian\bin\sdad.exe' (со скрытым окном)