Trojan.Siggen8.52317

Техническая информация

Вредоносные функции

Запускает на исполнение

'%WINDIR%\syswow64\taskkill.exe' /f /im XpressZip.exe
'%WINDIR%\syswow64\taskkill.exe' /f /im XpressZipShell.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\is-ccvo5.tmp\<Имя файла>.tmp
%APPDATA%\xpresszip\skin\is-jvmhd.tmp
%APPDATA%\xpresszip\skin\is-100mm.tmp
%APPDATA%\xpresszip\skin\is-2vfob.tmp
%APPDATA%\xpresszip\skin\is-91g4r.tmp
%APPDATA%\xpresszip\skin\is-hf3ol.tmp
%APPDATA%\xpresszip\skin\is-9265v.tmp
%APPDATA%\xpresszip\skin\is-gurrr.tmp
%APPDATA%\xpresszip\skin\is-2s09e.tmp
%APPDATA%\xpresszip\skin\is-cqmek.tmp
%APPDATA%\xpresszip\skin\is-7b0sc.tmp
%APPDATA%\xpresszip\skin\is-5udeq.tmp
%APPDATA%\xpresszip\skin\is-p62bt.tmp
%APPDATA%\xpresszip\skin\is-4mfa1.tmp
%APPDATA%\xpresszip\skin\is-k7i2s.tmp
%APPDATA%\xpresszip\skin\is-o2iac.tmp
%APPDATA%\xpresszip\skin\is-bon81.tmp
%APPDATA%\xpresszip\skin\is-gjall.tmp
%APPDATA%\xpresszip\skin\is-skpo0.tmp
%APPDATA%\xpresszip\skin\is-cgiqs.tmp
%PROGRAMDATA%\microsoft\windows\start menu\programs\xpresszip\Г«Г¦Г°Г¤Г±В№Г«Гµ.lnk
%APPDATA%\xpresszip\skin\is-8fnvl.tmp
%APPDATA%\xpresszip\skin\is-t2g6d.tmp
%APPDATA%\xpresszip\skin\is-14tj5.tmp
%APPDATA%\xpresszip\skin\is-q7jm3.tmp
%APPDATA%\xpresszip\skin\is-9pvqb.tmp
%APPDATA%\xpresszip\is-kf2ss.tmp
%APPDATA%\xpresszip\is-d3cmk.tmp
%APPDATA%\xpresszip\is-cn2oj.tmp
%APPDATA%\xpresszip\is-r9i8m.tmp
%APPDATA%\xpresszip\is-24doc.tmp
%APPDATA%\xpresszip\is-ra530.tmp
%APPDATA%\xpresszip\is-q875d.tmp
%APPDATA%\xpresszip\is-8qsjl.tmp
%APPDATA%\xpresszip\lang\is-6g765.tmp
%PROGRAMDATA%\microsoft\windows\start menu\programs\xpresszip\Г°В¶ГґГё Г«Г¦Г°Г¤Г±В№Г«Гµ.lnk
%APPDATA%\xpresszip\skin\is-qiheu.tmp
%APPDATA%\xpresszip\lang\is-160r0.tmp
%APPDATA%\xpresszip\skin\is-1smj1.tmp
%APPDATA%\xpresszip\skin\is-0esuc.tmp
%APPDATA%\xpresszip\skin\is-leosb.tmp
%APPDATA%\xpresszip\skin\is-0jpcc.tmp
%APPDATA%\xpresszip\skin\is-mbbvo.tmp
%APPDATA%\xpresszip\skin\is-051gt.tmp
%APPDATA%\xpresszip\skin\is-fgfo0.tmp
%APPDATA%\xpresszip\skin\is-rqbhk.tmp
%APPDATA%\xpresszip\skin\is-5t611.tmp
%TEMP%\is-ngcb0.tmp\_isetup\_setup64.tmp
%APPDATA%\xpresszip\skin\is-mt81k.tmp
%APPDATA%\xpresszip\xpresszip.cfg

Удаляет следующие файлы

%APPDATA%\xpresszip\xpresszip.exe
%TEMP%\is-ngcb0.tmp\_isetup\_setup64.tmp
%TEMP%\is-ccvo5.tmp\<Имя файла>.tmp

Перемещает следующие файлы

%APPDATA%\xpresszip\is-kf2ss.tmp в %APPDATA%\xpresszip\xpresszip.exe
%APPDATA%\xpresszip\skin\is-jvmhd.tmp в %APPDATA%\xpresszip\skin\decomprogbutton.png
%APPDATA%\xpresszip\skin\is-100mm.tmp в %APPDATA%\xpresszip\skin\helper.png
%APPDATA%\xpresszip\skin\is-2vfob.tmp в %APPDATA%\xpresszip\skin\ico.png
%APPDATA%\xpresszip\skin\is-91g4r.tmp в %APPDATA%\xpresszip\skin\img.png
%APPDATA%\xpresszip\skin\is-hf3ol.tmp в %APPDATA%\xpresszip\skin\jywc.png
%APPDATA%\xpresszip\skin\is-9265v.tmp в %APPDATA%\xpresszip\skin\lg.png
%APPDATA%\xpresszip\skin\is-gurrr.tmp в %APPDATA%\xpresszip\skin\lg2.png
%APPDATA%\xpresszip\skin\is-8fnvl.tmp в %APPDATA%\xpresszip\skin\copywc.png
%APPDATA%\xpresszip\skin\is-t2g6d.tmp в %APPDATA%\xpresszip\skin\decomp.png
%APPDATA%\xpresszip\skin\is-2s09e.tmp в %APPDATA%\xpresszip\skin\min.png
%APPDATA%\xpresszip\skin\is-qiheu.tmp в %APPDATA%\xpresszip\skin\put.png
%APPDATA%\xpresszip\skin\is-p62bt.tmp в %APPDATA%\xpresszip\skin\rbk.png
%APPDATA%\xpresszip\skin\is-4mfa1.tmp в %APPDATA%\xpresszip\skin\rename.png
%APPDATA%\xpresszip\skin\is-k7i2s.tmp в %APPDATA%\xpresszip\skin\replace.png
%APPDATA%\xpresszip\skin\is-o2iac.tmp в %APPDATA%\xpresszip\skin\skip.png
%APPDATA%\xpresszip\skin\is-bon81.tmp в %APPDATA%\xpresszip\skin\stop.png
%APPDATA%\xpresszip\skin\is-gjall.tmp в %APPDATA%\xpresszip\skin\sysbar_facbeek.png
%APPDATA%\xpresszip\skin\is-cqmek.tmp в %APPDATA%\xpresszip\skin\pbk.png
%APPDATA%\xpresszip\skin\is-5udeq.tmp в %APPDATA%\xpresszip\skin\prog.png
%APPDATA%\xpresszip\skin\is-14tj5.tmp в %APPDATA%\xpresszip\skin\comp.png
%APPDATA%\xpresszip\skin\is-q7jm3.tmp в %APPDATA%\xpresszip\skin\close.png
%APPDATA%\xpresszip\skin\is-9pvqb.tmp в %APPDATA%\xpresszip\skin\checkbox2.png
%APPDATA%\xpresszip\is-cn2oj.tmp в %APPDATA%\xpresszip\uninst.exe
%APPDATA%\xpresszip\is-24doc.tmp в %APPDATA%\xpresszip\xpresszip.sfx
%APPDATA%\xpresszip\is-ra530.tmp в %APPDATA%\xpresszip\xpresszip.dll
%APPDATA%\xpresszip\is-q875d.tmp в %APPDATA%\xpresszip\xpresszipexshell.dll
%APPDATA%\xpresszip\is-8qsjl.tmp в %APPDATA%\xpresszip\xpresszipshell.exe
%APPDATA%\xpresszip\lang\is-6g765.tmp в %APPDATA%\xpresszip\lang\en.ttt
%APPDATA%\xpresszip\lang\is-160r0.tmp в %APPDATA%\xpresszip\lang\zh-cn.lang
%APPDATA%\xpresszip\skin\is-7b0sc.tmp в %APPDATA%\xpresszip\skin\allrename.png
%APPDATA%\xpresszip\is-d3cmk.tmp в %APPDATA%\xpresszip\7z.dll
%APPDATA%\xpresszip\skin\is-mt81k.tmp в %APPDATA%\xpresszip\skin\allreplace.png
%APPDATA%\xpresszip\skin\is-0esuc.tmp в %APPDATA%\xpresszip\skin\bg.png
%APPDATA%\xpresszip\skin\is-leosb.tmp в %APPDATA%\xpresszip\skin\bk.png
%APPDATA%\xpresszip\skin\is-0jpcc.tmp в %APPDATA%\xpresszip\skin\browser.png
%APPDATA%\xpresszip\skin\is-mbbvo.tmp в %APPDATA%\xpresszip\skin\btn_cat.png
%APPDATA%\xpresszip\skin\is-051gt.tmp в %APPDATA%\xpresszip\skin\btn_copy.png
%APPDATA%\xpresszip\skin\is-fgfo0.tmp в %APPDATA%\xpresszip\skin\btn_opendir.png
%APPDATA%\xpresszip\skin\is-rqbhk.tmp в %APPDATA%\xpresszip\skin\cancle.png
%APPDATA%\xpresszip\skin\is-5t611.tmp в %APPDATA%\xpresszip\skin\check.png
%APPDATA%\xpresszip\skin\is-1smj1.tmp в %APPDATA%\xpresszip\skin\allskip.png
%APPDATA%\xpresszip\skin\is-skpo0.tmp в %APPDATA%\xpresszip\skin\txt.png
%APPDATA%\xpresszip\skin\is-cgiqs.tmp в %APPDATA%\xpresszip\skin\yswc.png

Подменяет следующие файлы

%APPDATA%\xpresszip\xpresszip.exe

Сетевая активность

UDP

DNS ASK st.##wzayy.com

Другое

Ищет следующие окна

ClassName: '' WindowName: ''
ClassName: 'DirectUIHWND' WindowName: ''
ClassName: 'CtrlNotifySink' WindowName: ''
ClassName: 'Button' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\is-ccvo5.tmp\<Имя файла>.tmp' /SL5="$C022A,1741509,92160,<Полный путь к файлу>"
'%APPDATA%\xpresszip\xpresszipshell.exe' install
'%APPDATA%\xpresszip\xpresszip.exe' start1
'%APPDATA%\xpresszip\xpresszip.exe'
'%WINDIR%\syswow64\taskkill.exe' /f /im XpressZip.exe' (со скрытым окном)
'%WINDIR%\syswow64\taskkill.exe' /f /im XpressZipShell.exe' (со скрытым окном)

Запускает на исполнение