Trojan.Siggen2.29012

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Classes\MSProgramGroup\Shell\Open\Command] '' = '<SYSTEM32>\grpconv.exe %1'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'GrpConv' = 'grpconv -o'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run] 'mt2du' = '%TEMP%\9ry9.exe'

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\MouseDriver] 'Start' = '00000002'

Вредоносные функции:

Создает и запускает на исполнение:

'%TEMP%\9ry9.exe' -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
'%TEMP%\9ry9.exe' -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
'%TEMP%\9ry9.exe' -dB8AB48A2D61160BF54A52B0C400424213EAB1060EA885B923B577503E93F157D2D518499502C653BE692943BA6980B233EFDF31B9833500C635AE39FEA9532407138E24DB3BBC12D43022F68CA31C9C388BF89C57CCDB1B119BB3A4F8066A3D689DE54462C32ED5DFE313B6FE829A8F2408D6348E4A997A110305B1906865196BBAC0BA12665A376EFDC39607EB830BECC2E52AC5CA15A0B3EB5680E1AF466B38BD0770C5020DAC32873ECBC48E92AB4D1AA68D5B3A69451D8D9C1459ADB4993BE3E495B97DACD34006E54DC44C0A0E0338AF4BCF4B61E8E53860797A117A4735994748C26E5F4350BF7B12EAE78DB88182A899E6D1910D464DE1C9A8E766009A150279C6CE508AB1FF485B9044163A5E57EF6B3AA89C56E00332074FC44A68A1B4AD33A152A032E506891EF020F01EC3EF04EF27A05D3F35C6F740FC9B0DFAE8CEC2A5F0EDD1CB0F4E6D68AA619BF6D09F6E0DDE86916E1EC59B9CF13E7B4CEFABF1D4D84A2CE529E0495B82DF9E5B86A8F3F094227A5E16724D18635B70EF1A9ADDC13E5B7D13026694E3612FBFD65C72C3B1F1533DA82C066DDAFCE2515E41D6BD91FDD821E5A9EE5C3BE15CCCF16C554E5572D7E4EB72D1D3CFDB9C134E21DAEC43B59D1EFCB5DF6
'%TEMP%\9ry9.exe'
'%TEMP%\9ry9.exe' -d829122C84780FE21DD2CE2C5DA9E0B0E9F0A1F6FD6B43CF5DCB032448355C5ADCEB2FBE68EF2B2EC1A6E1AB56759C3EB5497628AE8437A26C6FF8AF6374872006D242689EDE5F21E4504D6917883C2C8C6F1BEF2BD0C3E3EAF1D365E02F6A82E0255C2D00C12C3735096441384479DC8368B70439FC4AC9B280A81CFFE801CDE6D7B2A83D39168BC6B5AD083468228A925C8F6F6171629660299F9A6845AC31FD0B5FD806D0B6778085F277DB62B78E7543F0CBFEDC85C964E436AE52D69D2378BF41604420E867FD8A836AC0D9CE2B2C37DB0F52A6428545EBDE272D117BE693F839498FA48C879CBCA2BBAC50FFCBFB4811F36186BB206C171AF278A713B50CE20D379800874C013F4724E95DC9B5DA909D5EC406F61FA497E5B13B01D407A571B6F98FBB00E33201EB8C77866D33F60B68F3569EBD8FA083BB6C1DEA7006D3E70473DD5305BF4A4B5EAA7A664F923DDD64B0B9F1BFC064DE4CCA6EB1CF17521647626B89E61FD900A361B984CA2FF60854670284DF3B7ABE8E9BEF072C837E3E75B948BD96382145B087008E1A43C6982FCD88FA9227AF2549BE948A37A8BA4D292547827E7A3A2D90D70ED3414CDBA2B2ACE9DD72EDB3372AE6F8AEE3C2EC6A8F7CFE9ABB398EA4232F6
'%TEMP%\9ry9.exe' -dA8BBE309A1668A5513E297B0DF9BFCF976E386F60B69D0193955C7B1EF39741C9EE2E1FC027E530DF682339C3B05587015D6947C278CAEF2033A364A3A45CBB9F4BDD07F626AAC407B3AFCBBE2196268FACDDD915EEFCDCD5DF5066032DEA82C085B9798082AC5590DCFA9FEAA7C9ACFA36FEDDA1458FDCED3F08FC4CEB12CE9756C61D4793810D25B183553A771C34FCC118A75F0F24F1D34A46C33419BB965194295EE78083E27513DD8892E9CDC417305C073D4C614DE8B8A74F50243EE39126DDDCE0B473FC71D620B92D5572776D46DD591E8AADDA026F4C050C475AF78BB74222E78BD44F52AD8881E70B225706D5F544E8FFB7BB89138AB297D961A44B25E8E3543C5BF1C27CE4669155E9656FA67064E6E4F00AA9BACCC8F62CF92BCD59D8860307F614F004A80FE180A7D9079BCF34A6C1DBB9A4F7DFC86E894B8C83F6EBACD46A41AB4E3EDAEF00EB519CD262D645BAC283EC7FB4F562FC4286B1E4E0B0D5DCAEC1C803BA189A4CD19ECB17F9AE3D593F65B1F2C6F3166EB69CE31A0A4AA653F6DD736B7F80A726980B72F40AB381CC7E1227AAE082755927941B01066FA3C6B34FDB9443F6B1637EE7BA267F66D802D60E3148FA210A92D46667FBD0BA6A454167F540DA524E0

Запускает на исполнение:

'<SYSTEM32>\rundll32.exe' setupapi,InstallHinfSection DefaultInstall 128 %TEMP%\mdinstall.inf
'<SYSTEM32>\net1.exe' stop "Windows Firewall/Internet Connection Sharing (ICS)"
'<SYSTEM32>\runonce.exe' -r
'<SYSTEM32>\grpconv.exe' -o
'<SYSTEM32>\cmd.exe' /c %TEMP%\mesmfpwk.bat
'<SYSTEM32>\sc.exe' config wscsvc start= DISABLED
'<SYSTEM32>\net.exe' stop "Security Center"
'<SYSTEM32>\net.exe' stop "Windows Firewall/Internet Connection Sharing (ICS)"
'<SYSTEM32>\net1.exe' stop "Security Center"
'<SYSTEM32>\sc.exe' config SharedAccess start= DISABLED