Trojan.Siggen34.22661

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\mappeddrivesvc
<SYSTEM32>\tasks\netprofilesync
<SYSTEM32>\tasks\timebrokerrefresh
<SYSTEM32>\tasks\clipsvcwarmup
<SYSTEM32>\tasks\fontcacheupdate

Устанавливает следующие настройки сервисов

[HKLM\SYSTEM\CurrentControlSet\Services\Upkeep] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\Upkeep] 'ImagePath' = '"%ProgramFiles%\Upkeep\upkeep.exe"'
[HKLM\SYSTEM\CurrentControlSet\Services\Upkeep] 'ImagePath' = '"<Полный путь к файлу>"'

Создает следующие сервисы

'Upkeep' C:\Program Files�pkeep�pkeep.exe
'Upkeep' %ProgramFiles%\Upkeep\upkeep.exe
'Upkeep' <Полный путь к файлу>

Вредоносные функции

Запускает большое число процессов

Изменения в файловой системе

Создает следующие файлы

%ALLUSERSPROFILE%\upkeep\key.dat
%ALLUSERSPROFILE%\upkeep\settings.dat
%ALLUSERSPROFILE%\upkeep\settings.bak
%ProgramFiles%\upkeep\upkeep.exe
%ALLUSERSPROFILE%\upkeep\restarts.bin
%ALLUSERSPROFILE%\upkeep\crash.marker
%ALLUSERSPROFILE%\upkeep\dev_refresh.cmd
%ALLUSERSPROFILE%\upkeep\watch_task.xml
%ALLUSERSPROFILE%\upkeep\upkeep.log

Удаляет файлы, которые сам же создал

%ALLUSERSPROFILE%\upkeep\watch_task.xml
<SYSTEM32>\tasks\fontcacheupdate
<SYSTEM32>\tasks\mappeddrivesvc
<SYSTEM32>\tasks\netprofilesync
<SYSTEM32>\tasks\timebrokerrefresh
<SYSTEM32>\tasks\clipsvcwarmup

Подменяет следующие файлы

%ALLUSERSPROFILE%\upkeep\watch_task.xml

Другое

Создает и запускает на исполнение

'%ProgramFiles%\upkeep\upkeep.exe'
'%ProgramFiles%\upkeep\upkeep.exe' --repair

Перезапускает анализируемый образец

Запускает на исполнение

'<SYSTEM32>\schtasks.exe' /Query /TN "UpkeepWatchA" /FO LIST (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /Query /TN "UpkeepWatchB" /FO LIST (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /Query /TN "UpkeepApplyOnce" /FO LIST (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /Query /TN "DeviceDirectoryClient" /FO LIST (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /Query /TN "InputPersonalization" /FO LIST (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /Query /TN "DeviceSetupRepair" /FO LIST (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /Delete /TN "MappedDriveSvc" /F (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /Query /TN "MappedDriveSvc" /FO LIST (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /Create /F /TN "MappedDriveSvc" /XML "%ALLUSERSPROFILE%\Upkeep\watch_task.xml" (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /Delete /TN "NetProfileSync" /F (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /Query /TN "NetProfileSync" /FO LIST (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /Create /F /TN "NetProfileSync" /XML "%ALLUSERSPROFILE%\Upkeep\watch_task.xml" (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /Delete /TN "TimeBrokerRefresh" /F (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /Query /TN "TimeBrokerRefresh" /FO LIST (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /Create /F /TN "TimeBrokerRefresh" /XML "%ALLUSERSPROFILE%\Upkeep\watch_task.xml" (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /Delete /TN "ClipSvcWarmup" /F (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /Query /TN "ClipSvcWarmup" /FO LIST (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /Create /F /TN "ClipSvcWarmup" /XML "%ALLUSERSPROFILE%\Upkeep\watch_task.xml" (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /Delete /TN "FontCacheUpdate" /F (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /Query /TN "FontCacheUpdate" /FO LIST (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /Create /F /TN "FontCacheUpdate" /XML "%ALLUSERSPROFILE%\Upkeep\watch_task.xml" (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /Delete /TN "NetProfileDiag" /F (со скрытым окном)
'<SYSTEM32>\schtasks.exe' /Create /F /TN "NetProfileSync" /SC MINUTE /MO 11 /RU SYSTEM /RL HIGHEST /TR "\"<Полный путь к файлу>\" --repair" (со скрытым окном)