Trojan.Siggen6.4317

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'userinit' = 'userinit.exe,%WINDIR%\wuserinit.exe'

Создает или изменяет следующие файлы:

%HOMEPATH%\Start Menu\Programs\Startup\wuserinit.exe

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует отображение:

скрытых файлов

Запускает на исполнение:

'<SYSTEM32>\reg.exe' add "hklm\software\microsoft\windows\currentversion\explorer\advanced\folder\hidefileext" /v uncheckedvalue /t reg_dword /d 0x1 /f
'<SYSTEM32>\attrib.exe' +r +h +s "<Имя диска съемного носителя>:\Program Files\WINDOWS\system32\Microsoft\Protect\S-1-5-18\User\wuserinit.exe"
'<SYSTEM32>\cmd.exe' /c ""<SYSTEM32>\user.bat" | cacls.exe "<Имя диска съемного носителя>:\Program Files\WINDOWS\system32\Microsoft\Protect\S-1-5-18\User\wuserinit.exe" /g everyone:r"
'<SYSTEM32>\reg.exe' add "hklm\software\microsoft\windows\currentversion\explorer\advanced\folder\hidefileext" /v checkedvalue /t reg_dword /d 0x1 /f
'<SYSTEM32>\cmd.exe' /c ""<SYSTEM32>\user.bat" | cacls.exe "%HOMEPATH%\Start Menu\Programs\Startup\wuserinit.exe" /g everyone:r"
'<SYSTEM32>\cacls.exe' "%HOMEPATH%\Start Menu\Programs\Startup\wuserinit.exe" /g everyone:r
'<SYSTEM32>\reg.exe' add "hklm\software\microsoft\windows\currentversion\explorer\advanced\folder\hidden\showall" /v checkedvalue /t reg_dword /d 0x0 /f
'<SYSTEM32>\attrib.exe' +r +h +s "<Имя диска съемного носителя>:\Program Files\WINDOWS\system32\Microsoft\Protect\S-1-5-18\User\autorun.inf"
'<SYSTEM32>\cmd.exe' /c ""<SYSTEM32>\user.bat" | cacls.exe "<Имя диска съемного носителя>:\Program Files\WINDOWS\system32\Microsoft\Protect\S-1-5-18\User\autorun.inf" /g everyone:r"
'<SYSTEM32>\cacls.exe' "<Имя диска съемного носителя>:\Program Files\WINDOWS\system32\Microsoft\Protect\S-1-5-18\User\autorun.inf" /g everyone:r
'<SYSTEM32>\cacls.exe' "<Имя диска съемного носителя>:\Program Files\WINDOWS\system32\Microsoft\Protect\S-1-5-18\User\GoldenPig.ico" /g everyone:r
'<SYSTEM32>\cacls.exe' "<Имя диска съемного носителя>:\Program Files\WINDOWS\system32\Microsoft\Protect\S-1-5-18\User\wuserinit.exe" /g everyone:r
'<SYSTEM32>\attrib.exe' +r +h +s "<Имя диска съемного носителя>:\Program Files\WINDOWS\system32\Microsoft\Protect\S-1-5-18\User\GoldenPig.ico"
'<SYSTEM32>\cmd.exe' /c ""<SYSTEM32>\user.bat" | cacls.exe "<Имя диска съемного носителя>:\Program Files\WINDOWS\system32\Microsoft\Protect\S-1-5-18\User\GoldenPig.ico" /g everyone:r"
'<SYSTEM32>\attrib.exe' +r +h +s "<SYSTEM32>\GoldenPig.ico"
'<SYSTEM32>\cmd.exe' /c ""<SYSTEM32>\user.bat" | cacls.exe "<SYSTEM32>\GoldenPig.ico" /g everyone:r"
'<SYSTEM32>\cacls.exe' "<SYSTEM32>\GoldenPig.ico" /g everyone:r
'<SYSTEM32>\cacls.exe' "%WINDIR%\wuserinit.exe" /g everyone:r
'%WINDIR%\explorer.exe' C:\
'<SYSTEM32>\attrib.exe' +r +h +s "%WINDIR%\wuserinit.exe"
'<SYSTEM32>\cmd.exe' /c ""<SYSTEM32>\user.bat" | cacls.exe "%WINDIR%\wuserinit.exe" /g everyone:r"
'<SYSTEM32>\attrib.exe' +s +h +r "<Имя диска съемного носителя>:\Program Files"
'<SYSTEM32>\attrib.exe' +s +h +r E:\"MyDocument"
'<SYSTEM32>\attrib.exe' +r +h +s "%HOMEPATH%\Start Menu\Programs\Startup\wuserinit.exe"
'<SYSTEM32>\attrib.exe' +s +h +r "<Имя диска съемного носителя>:\Program Files\windows"
'<SYSTEM32>\attrib.exe' +r +h +s "<SYSTEM32>\autorun.inf"
'<SYSTEM32>\cmd.exe' /c ""<SYSTEM32>\user.bat" | cacls.exe "<SYSTEM32>\autorun.inf" /g everyone:r"
'<SYSTEM32>\cacls.exe' "<SYSTEM32>\autorun.inf" /g everyone:r