Trojan.Siggen.18518

Техническая информация

Для обеспечения автозапуска и распространения:

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\WindowsNL] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\Windows Management] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\Windows Security] 'Start' = '00000002'

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<SYSTEM32>\winlgn.exe' = '<SYSTEM32>\winlgn.exe:*:Enabled:Emule'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<SYSTEM32>\winrcoi.exe' = '<SYSTEM32>\winrcoi.exe:*:Enabled:Emule'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<SYSTEM32>\winmng.exe' = '<SYSTEM32>\winmng.exe:*:Enabled:Emule'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<SYSTEM32>\lopip.exe' = '<SYSTEM32>\lopip.exe:*:Enabled:Emule'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<SYSTEM32>\WinSrv.exe' = '<SYSTEM32>\WinSrv.exe:*:Enabled:Emule'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<SYSTEM32>\winspc.exe' = '<SYSTEM32>\winspc.exe:*:Enabled:eMule'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<SYSTEM32>\spoolsvs.exe' = '<SYSTEM32>\spoolsvs.exe:*:Enabled:Emule'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<SYSTEM32>\csrrss.exe' = '<SYSTEM32>\csrrss.exe:*:Enabled:Emule'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<SYSTEM32>\ctmons.exe' = '<SYSTEM32>\ctmons.exe:*:Enabled:Emule'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<SYSTEM32>\dllhosts.exe' = '<SYSTEM32>\dllhosts.exe:*:Enabled:Emule'

Создает и запускает на исполнение:

<SYSTEM32>\spoolsvs.exe /i
<SYSTEM32>\winlgs.exe /i
<SYSTEM32>\spoolsvs.exe
<SYSTEM32>\winlgs.exe
<SYSTEM32>\lssass.exe
<SYSTEM32>\winspc.exe /checkupdates
<SYSTEM32>\ingrd2.exe
<SYSTEM32>\SSta.exe
<SYSTEM32>\innt5.exe
<SYSTEM32>\lssass.exe /i
<SYSTEM32>\intr2.exe

Запускает на исполнение:

<SYSTEM32>\regsvr32.exe /s WinSubHook2.tlb
<SYSTEM32>\regsvr32.exe /s msvbvm60.dll
<SYSTEM32>\regsvr32.exe /s DartService.dll
<SYSTEM32>\regsvr32.exe /s DartSock.dll
<SYSTEM32>\regsvr32.exe /s MSWINSCK.OCX

Завершает или пытается завершить

следующие пользовательские процессы:

zlclient.exe
ZONEALARM.EXE
nod32.exe
smc.exe

Изменения в файловой системе:

Создает следующие файлы:

<SYSTEM32>\icfutil.exe
<SYSTEM32>\innt5.exe
<SYSTEM32>\DartSock.dll
<SYSTEM32>\chksp1.exe
<SYSTEM32>\DartService.dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\CVer[1].txt
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\CFILES[1].txt
<SYSTEM32>\SSta.exe
<SYSTEM32>\spoolsvs.exe
<SYSTEM32>\intr2.exe
<SYSTEM32>\lopip.exe
<SYSTEM32>\ingrd2.exe
<SYSTEM32>\winspc.exe
<SYSTEM32>\iget.exe
<SYSTEM32>\windbg.exe
<SYSTEM32>\winlgs.exe
<SYSTEM32>\wincheck2.exe
<SYSTEM32>\lssass.exe
<SYSTEM32>\MSWINSCK.OCX

Присваивает атрибут 'скрытый' для следующих файлов:

<SYSTEM32>\MSWINSCK.OCX

Удаляет следующие файлы:

%TEMP%\~DF7CE.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\CFILES[1].txt
%TEMP%\~DF9173.tmp
%TEMP%\~DFF93F.tmp
%TEMP%\~DFEB87.tmp
%TEMP%\~DF510B.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\CVer[1].txt
%TEMP%\~DF41F1.tmp

Сетевая активность:

Подключается к: