Trojan.Siggen.28296

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'IIEXPL0RE' = '%WINDIR%\system\IIEXPL0RE.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'vmdetdhc.exe' = '<SYSTEM32>\vmdetdhc.exe'

Создает следующие сервисы:

Вредоносные функции:

Создает и запускает на исполнение:

Запускает на исполнение:

'<SYSTEM32>\conhost.exe' /Processid:{F9717507-6651-4EDB-BFF7-AE615179BCCF}
'<SYSTEM32>\net1.exe' stop sharedaccess
'<SYSTEM32>\net.exe' stop sharedaccess
'<SYSTEM32>\sppsvc.exe'
'<SYSTEM32>\conhost.exe' -Embedding
'<SYSTEM32>\net1.exe'
'<SYSTEM32>\PING.EXE' 127.1
'<SYSTEM32>\spoolsv.exe' -Start
'<SYSTEM32>\Wat\WatAdminSvc.exe' /run
'<SYSTEM32>\conhost.exe'
'<SYSTEM32>\attrib.exe' +s +h "%WINDIR%\system\IIEXPL0RE.exe"
'<SYSTEM32>\reg.exe' add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /v IIEXPL0RE /d %WINDIR%\system\IIEXPL0RE.exe /f

Внедряет код в

следующие системные процессы:

Изменения в файловой системе:

Создает следующие файлы:

%WINDIR%\ServiceProfiles\LocalService\AppData\LocalLow\Microsoft\CryptnetUrlCache\MetaData\C24EC5BDAF13613245B4CECC3DE91DC6
%WINDIR%\ServiceProfiles\LocalService\AppData\LocalLow\Microsoft\CryptnetUrlCache\Content\C24EC5BDAF13613245B4CECC3DE91DC6
%WINDIR%\system\IIEXPL0RE.ini
<Служебный элемент>
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\UEWNTWLX\blogupdate[1].txt
%APPDATA%\Roaming\Microsoft\Protect\S-1-5-21-2832440558-3064306045-1455513625-1000\ca1fcfe1-231b-4e8b-9eb1-96ba8d04f3d7
<LS_APPDATA>\Microsoft\Internet Explorer\imagestore\g1bfg6d\imagestore.dat
%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab8892.tmp
%WINDIR%\Temp\tmp63C1.tmp
%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab8861.tmp
%WINDIR%\system\IIEXPL0RE.exe
%WINDIR%\ResetTest.txt
%WINDIR%\system\temp.bat
<SYSTEM32>\vmdetdhc.exe
%TEMP%\RarSFX0\556.exe
%TEMP%\RarSFX0\111.exe
%TEMP%\~DFC153235160C0EE6B.TMP
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YIF7DGLM\post[1].asp
<LS_APPDATA>\Microsoft\Internet Explorer\Recovery\High\Active\{5F51BB86-7903-11E4-A041-B5D64FE6D7F1}.dat
<LS_APPDATA>\Microsoft\Internet Explorer\Recovery\High\Active\RecoveryStore.{5F51BB84-7903-11E4-A041-B5D64FE6D7F1}.dat
%TEMP%\~DF408A6AB5CECDF372.TMP

Присваивает атрибут 'скрытый' для следующих файлов:

Удаляет следующие файлы:

Сетевая активность:

Подключается к:

TCP:

Запросы HTTP GET:

20#.#6.232.182/pki/crl/products/WinPCA.crl
20#.#6.232.182/fwlink/?Li###########
ct###.#indowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?d7##############
bl#####g.w07.08host.com/blogupdate.txt
bl#####g.w07.08host.com/post.asp?id##########################################################
ct###.#indowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?b2##############
20#.#6.232.182/pki/crl/products/microsoftrootcert.crl

UDP: