Trojan.PWS.Siggen1.28091

Техническая информация

Для обеспечения автозапуска и распространения:

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\ShareAcces] 'Start' = '00000002'

Вредоносные функции:

Создает и запускает на исполнение:

'C:\Server.exe'
'%TEMP%\RarSFX0\taobao.exe'
'%HOMEPATH%\kill.exe'
'C:\taobao.exe'
'%CommonProgramFiles%\Ctmaof\mfcpmpd.exe'
'%HOMEPATH%\Templates\installstat.exe'
'%TEMP%\RarSFX0\ghost_4563.exe'
'%TEMP%\RarSFX0\setups2070.exe'
'%PROGRAM_FILES%\їмЅЭ·ЅКЅ\KKJDock.exe'
'%HOMEPATH%\kill.exe' (загружен из сети Интернет)

Ищет ветки реестра, отвечающие за хранение паролей сторонними программами:

[<HKLM>\SOFTWARE\FlashFXP]
[<HKCU>\Software\FlashFXP]

Изменяет следующие настройки проводника Windows (Windows Explorer):

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoInternetIcon' = '00000001'

Изменения в файловой системе:

Создает следующие файлы:

%PROGRAM_FILES%\їмЅЭ·ЅКЅ\icons\soft\і¬ј¶НГЧУ.png
%PROGRAM_FILES%\їмЅЭ·ЅКЅ\icons\soft\Word.png
%PROGRAM_FILES%\їмЅЭ·ЅКЅ\icons\soft\Winamp.png
%PROGRAM_FILES%\їмЅЭ·ЅКЅ\icons\soft\УЕ»ЇґуК¦.png
%PROGRAM_FILES%\їмЅЭ·ЅКЅ\icons\soft\З§З§ѕІМэ.png
%PROGRAM_FILES%\їмЅЭ·ЅКЅ\icons\soft\їб№·.png
%PROGRAM_FILES%\їмЅЭ·ЅКЅ\icons\soft\RealOne.png
%PROGRAM_FILES%\їмЅЭ·ЅКЅ\icons\soft\FXP.png
%PROGRAM_FILES%\їмЅЭ·ЅКЅ\icons\soft\CS.png
%PROGRAM_FILES%\їмЅЭ·ЅКЅ\icons\soft\ACDSee.png
%PROGRAM_FILES%\їмЅЭ·ЅКЅ\icons\soft\QQ.png
%PROGRAM_FILES%\їмЅЭ·ЅКЅ\icons\soft\PS.png
%PROGRAM_FILES%\їмЅЭ·ЅКЅ\icons\soft\MSN.png
%PROGRAM_FILES%\їмЅЭ·ЅКЅ\їмЅЭ·ЅКЅ.url
%HOMEPATH%\ctfmon.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\webserver[1].exe
<SYSTEM32>\2.ico
%HOMEPATH%\kill.exe
%HOMEPATH%\kill.dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\kill[1].exe
<SYSTEM32>\1.ico
%CommonProgramFiles%\Ctmaof\mfcpmpd.exe
%PROGRAM_FILES%\їмЅЭ·ЅКЅ\uninst.exe
%HOMEPATH%\Start Menu\Programs\їмЅЭ·ЅКЅ\Р¶ФШїмЅЭ·ЅКЅ.lnk
C:\taobao.exe
C:\Server.exe
%PROGRAM_FILES%\їмЅЭ·ЅКЅ\kkjDock.cfg
%HOMEPATH%\My Documents\backup\Windows Media Player.lnk
%HOMEPATH%\My Documents\backup\Show Desktop.scf
%HOMEPATH%\My Documents\backup\Launch Internet Explorer Browser.lnk
%APPDATA%\Microsoft\Internet Explorer\Quick Launch\Show Desktop.scf
%APPDATA%\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.txt
%APPDATA%\Microsoft\Internet Explorer\Quick Launch\Internet Exlporer.1nk
%HOMEPATH%\My Documents\backup\desktop.ini
%TEMP%\RarSFX0\setups2070.exe
%TEMP%\RarSFX0\taobao.exe
%TEMP%\RarSFX0\ghost_4563.exe
%HOMEPATH%\Desktop\Internet Exlporer.1nk
%PROGRAM_FILES%\Internet Explorer\SIGNUP\msn.1nk
%TEMP%\nsj2.tmp\System.dll
%APPDATA%\Microsoft\Internet Explorer\Quick Launch\Windows Media Player.txt
%PROGRAM_FILES%\їмЅЭ·ЅКЅ\icons\јЗКВ±ѕ.png
%PROGRAM_FILES%\їмЅЭ·ЅКЅ\icons\јЖЛгЖч.png
%PROGRAM_FILES%\їмЅЭ·ЅКЅ\icons\IE2.png
%PROGRAM_FILES%\їмЅЭ·ЅКЅ\icons\ОТµДОДµµ.png
%PROGRAM_FILES%\їмЅЭ·ЅКЅ\icons\ОТµДµзДФ.png
%PROGRAM_FILES%\їмЅЭ·ЅКЅ\icons\їШЦЖГж°е.png
%PROGRAM_FILES%\їмЅЭ·ЅКЅ\icons\IE1.png
%HOMEPATH%\Templates\installstat.exe
%HOMEPATH%\Favorites\УгУгРЎУОП·.url
%PROGRAM_FILES%\Internet Explorer\SIGNUP\in
%PROGRAM_FILES%\їмЅЭ·ЅКЅ\KKJDock.exe
%HOMEPATH%\Start Menu\Programs\їмЅЭ·ЅКЅ\їмЅЭ·ЅКЅ.lnk
%HOMEPATH%\Templates\statistics.dll

Удаляет следующие файлы:

%TEMP%\nsj2.tmp\System.dll
%HOMEPATH%\Templates\statistics.dll
%TEMP%\RarSFX0\ghost_4563.exe
%TEMP%\RarSFX0\taobao.exe
%TEMP%\RarSFX0\setups2070.exe
%HOMEPATH%\My Documents\backup\Launch Internet Explorer Browser.txt
%HOMEPATH%\My Documents\backup\desktop.ini
%HOMEPATH%\My Documents\backup\Show Desktop.scf
%HOMEPATH%\Templates\installstat.exe
%HOMEPATH%\My Documents\backup\Windows Media Player.txt

Перемещает следующие файлы:

%APPDATA%\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.txt в %APPDATA%\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.lnk
%APPDATA%\Microsoft\Internet Explorer\Quick Launch\Windows Media Player.txt в %APPDATA%\Microsoft\Internet Explorer\Quick Launch\Windows Media Player.lnk
%HOMEPATH%\My Documents\backup\Launch Internet Explorer Browser.lnk в %HOMEPATH%\My Documents\backup\Launch Internet Explorer Browser.txt
%HOMEPATH%\My Documents\backup\Windows Media Player.lnk в %HOMEPATH%\My Documents\backup\Windows Media Player.txt

Сетевая активность:

Подключается к: