Trojan.Siggen10.37012

Техническая информация

Изменения в файловой системе

Создает следующие файлы

%TEMP%\ad-mymacro9.xml
C:\xph\sx0.mp3
C:\xph\sx7.mp3
C:\xph\sx6.mp3
C:\xph\sx5.mp3
C:\xph\sx4.mp3
C:\xph\sx3.mp3
C:\xph\sx2.mp3
C:\xph\sx1.mp3
C:\xph\xp30.mp3
C:\xph\xp29.mp3
C:\xph\xp33.mp3
C:\xph\xp32.mp3
C:\xph\xp26.mp3
C:\xph\xp25.mp3
C:\xph\xp24.mp3
C:\xph\xp23.mp3
C:\xph\xp22.mp3
C:\xph\xp21.mp3
C:\xph\xp20.mp3
C:\xph\xp19.mp3
C:\xph\xp18.mp3
C:\xph\xp17.mp3
C:\xph\xp28.mp3
C:\xph\webwlyz_com.dll
C:\xph\xp34.mp3
C:\xph\Г—ГґВ¶ВЇВ·ВўВїВЁ.png
C:\xph\ГЄВ№ГіГЈГ§В°-Г«ВµГЈГ·.txt
C:\xph\В№В«ВёГ¦.txt
C:\xph\ГЄВ№ГіГЈВЅГ¬ВіГ¬.txt
C:\xph\ГЄВ№ГіГЈГ«ВµГЈГ·.txt
C:\xph\qdcg.mp3
C:\xph\xp0.mp3
C:\xph\xp31.mp3
C:\xph\xp50.mp3
C:\xph\xp49.mp3
C:\xph\xp48.mp3
C:\xph\xp47.mp3
C:\xph\xp46.mp3
C:\xph\xp45.mp3
C:\xph\xp44.mp3
C:\xph\xp43.mp3
C:\xph\xp42.mp3
C:\xph\xp41.mp3
C:\xph\xp40.mp3
C:\xph\xp39.mp3
C:\xph\xp38.mp3
C:\xph\xp37.mp3
C:\xph\xp36.mp3
C:\xph\xp16.mp3
C:\xph\xp27.mp3
C:\xph\xp15.mp3
C:\xph\xp14.mp3
C:\xph\xp13.mp3
%APPDATA%\mymacro\mymacro_errinfo.exe
%TEMP%\709f9d8.tmp
%ALLUSERSPROFILE%\boost_interprocess_qm\fvlq_whbmglv
%ALLUSERSPROFILE%\boost_interprocess_qm\6fzsusnposhr
%ALLUSERSPROFILE%\boost_interprocess_qm\eam9e1k1yxp
%ALLUSERSPROFILE%\boost_interprocess_qm\eam9e1k1yxps
%APPDATA%\mymacro\qdisp.dll
%APPDATA%\mymacro\cfgdll.dll
%TEMP%\qmlog\20201013.log
%APPDATA%\mymacro\mt.exe
%TEMP%\mt.zip
%APPDATA%\mymacro\runner.exe
%ALLUSERSPROFILE%\boost_interprocess_qm\mncpjey7m87t
%TEMP%\runner.zip
%APPDATA%\mymacro\rkey.dat
%TEMP%\rkey.zip
%TEMP%\background.bmp
%TEMP%\mymacro.zip
%APPDATA%\mymacro\plugin\file.dll
%APPDATA%\mymacro\plugin\window.dll
%TEMP%\plugin.zip
%TEMP%\macea9c.tmp
%TEMP%\adcon\mm\tmpad.xml
%APPDATA%\mymacro\plugin\window.ini
C:\xph\xp35.mp3
%TEMP%\ad-mymacro9.xml.tmp
C:\xph\san.mp3
%ALLUSERSPROFILE%\boost_interprocess_qm\jrup8tjsmcrb
C:\xph\xp12.mp3
C:\xph\xp11.mp3
C:\xph\xp10.mp3
C:\xph\xp9.mp3
C:\xph\xp8.mp3
C:\xph\xp7.mp3
C:\xph\xp6.mp3
C:\xph\xp5.mp3
C:\xph\xp4.mp3
C:\xph\xp3.mp3
C:\xph\xp2.mp3
C:\xph\xp1.mp3
C:\xph\sx10.mp3
C:\xph\sx9.mp3
C:\xph\sx8.mp3
C:\xph\64.mp3
C:\xph\63.mp3
C:\xph\cg.mp3
C:\xph\62.mp3
C:\xph\61.mp3
C:\xph\er.mp3
C:\xph\si.mp3
C:\xph\hd.mp3
%ALLUSERSPROFILE%\boost_interprocess_qm\a1gyhl6occfo

Удаляет следующие файлы

%TEMP%\adcon\mm\tmpad.xml
%TEMP%\plugin.zip
%TEMP%\mymacro.zip
%TEMP%\rkey.zip
%TEMP%\runner.zip
%TEMP%\mt.zip
%ALLUSERSPROFILE%\boost_interprocess_qm\fvlq_whbmglv
%ALLUSERSPROFILE%\boost_interprocess_qm\jrup8tjsmcrb
%ALLUSERSPROFILE%\boost_interprocess_qm\mncpjey7m87t
%ALLUSERSPROFILE%\boost_interprocess_qm\a1gyhl6occfo

Перемещает следующие файлы

%TEMP%\background.bmp в %TEMP%\578background.bmp
%TEMP%\ad-mymacro9.xml.tmp в %TEMP%\ad-mymacro9.xml

Сетевая активность

Подключается к

'so##.anjian.com':80

TCP

Запросы HTTP GET

http://so##.anjian.com/Include/BuildPage/AnJianBindingInstallPC.html
http://so##.anjian.com/V2014V2/Config/ad-mymacro.xml
http://do##.#rbrothers.com/qmacro/up_mymacro/liveupdate8.dat
http://hi.###rothers.com/xjl/mmcount.aspx?mm#####################################################################################################################################################...
http://hm.##idu.com/h.js?82##############################
http://lo#.##.baidu.com/hm.gif?cc#############################################################################################################################################
http://lo#.##.baidu.com/hm.gif?cc##########################################################################################################################################################
http://lo#.##.baidu.com/hm.gif?cc##############################################################################################################################################
http://lo#.##.baidu.com/hm.gif?cc#########################################################################################################################################################

Запросы HTTP POST

http://so##.anjian.com/Include/BuildPage/ExitAdXJL.shtml
http://so##.anjian.com/Interface/GetIP.aspx
http://so##.anjian.com/Interface/BindingPC/BindingUpdate.aspx

'c1.###baoyun.org':65500

'47.#6.14.91':65500

UDP

DNS ASK so##.anjian.com
DNS ASK ba##u.com
DNS ASK do##.#rbrothers.com
DNS ASK hi.###rothers.com
DNS ASK c1.###baoyun.org
DNS ASK hm.##idu.com
DNS ASK lo#.##.baidu.com

Другое

Ищет следующие окна

ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebCheckMonitor' WindowName: ''
ClassName: '' WindowName: 'USBMouseMacro'

Создает и запускает на исполнение

'%APPDATA%\mymacro\runner.exe' --host_id 3 --verify_key _MJU9LwioAi2 --product "<Полный путь к файлу>" --version 2014.05.19469
'%WINDIR%\syswow64\ping.exe' www.ba##u.com -n 2' (со скрытым окном)

Запускает на исполнение