Trojan.PWS.Siggen.43870

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'yinrxf' = '%PROGRAM_FILES%\oxy\pmm.exe'
[<HKLM>\SOFTWARE\Classes\icwfile\Shell\Open\Command] '' = ''

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует отображение:

Создает и запускает на исполнение:

%TEMP%\kugou_2555.exe
%TEMP%\PPTV(pplive)_forqiqi_9155.exe
%HOMEPATH%\Templates\installstat.exe
%TEMP%\nsu4.tmp\nsE.tmp "<SYSTEM32>\cscript.exe" "%PROGRAM_FILES%\EditPlus\kk27.icw"
%HOMEPATH%\Templates\kk3923.exe
%HOMEPATH%\Templates\Downloader_2555.exe
%HOMEPATH%\Templates\mn2339.exe
%HOMEPATH%\Templates\Loader_forqiqi_9155.exe
%TEMP%\nsu4.tmp\ns5.tmp c:\3927.bat
%TEMP%\kugou_2555.exe (загружен из сети Интернет)
%TEMP%\PPTV(pplive)_forqiqi_9155.exe (загружен из сети Интернет)

Запускает на исполнение:

<SYSTEM32>\cscript.exe "%PROGRAM_FILES%\EditPlus\kk27.icw"
%WINDIR%\regedit.exe /s %TEMP%\test1.reg
<SYSTEM32>\regedt32.exe /s %TEMP%\test1.reg
<SYSTEM32>\ping.exe -n 500 127.1
<SYSTEM32>\cmd.exe /c ""%HOMEPATH%\Templates\a.bat" "
<SYSTEM32>\wscript.exe "%HOMEPATH%\Templates\kk27.icw"
<SYSTEM32>\msiexec.exe -Embedding 897DDC5151247638A0F3A322A73CCEB6
<SYSTEM32>\reg.exe add HKCU\Software\sid\ /v Sid /d S-1-5-21-2052111302-484763869-725345543-1003 /f
<SYSTEM32>\wbem\wmic.exe userAccount where "Name='%USERNAME%'" get SID /value
<SYSTEM32>\cmd.exe /c c:\3927.bat
<SYSTEM32>\msiexec.exe /V
<SYSTEM32>\msiexec.exe /fauv "%HOMEPATH%\Templates\392727\39270.msj" /qn
%WINDIR%\regedit.exe /s "%WINDIR%\Installer\3927.reg"

Ищет ветки реестра, отвечающие за хранение паролей сторонними программами:

Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.

Изменения в файловой системе:

Создает следующие файлы:

%WINDIR%\Installer\3063b.msi
%HOMEPATH%\Templates392727uoi.txt
%WINDIR%\Installer\MSIB.tmp
%HOMEPATH%\Templates\392727\uoi.txt
%HOMEPATH%\Templates\TempWmicBatchFile.bat
<SYSTEM32>\wbem\AutoRecover\23BDE61F1F4FACE17E9B0C01F2A1FD9B.mof
%WINDIR%\Installer\3927.reg
%WINDIR%\Installer\310f0.msi
%HOMEPATH%\Templates\installstat.exe
%PROGRAM_FILES%\EditPlus\kk27.icw
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\buy.pudown[1]
%HOMEPATH%\Templates\statistics.dll
%HOMEPATH%\Templates\kk27.icw
%PROGRAM_FILES%\TTPlayer\home\bd.exe
C:\Config.Msi\3063e.rbs
%TEMP%\test1.reg
%PROGRAM_FILES%\TTPlayer\home\start.vbs
%TEMP%\tmpA.tmp
C:\3927.bat
%HOMEPATH%\Templates\Loader_forqiqi_9155.exe
%TEMP%\nsg7.tmp\ioSpecial.ini
%HOMEPATH%\Templates\kk.txt
%HOMEPATH%\Templates\Downloader_2555.exe
%HOMEPATH%\Templates\read.txt
%TEMP%\nse2.tmp\System.dll
%HOMEPATH%\Templates\a.bat
%HOMEPATH%\Templates\re3923.txt
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\kugou_2555[1].exe
%TEMP%\tmp9.tmp
<SYSTEM32>\wbem\AutoRecover\C8463ECBE33BC240263A0B094E46D510.mof
%TEMP%\kugou_2555.exe
%TEMP%\PPTV(pplive)_forqiqi_9155.exe
%TEMP%\nsg7.tmp\InstallOptions.dll
%TEMP%\nsg7.tmp\modern-wizard.bmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\PPTV(pplive)_forqiqi_9155[1].exe
%TEMP%\tmp8.tmp