Trojan.Siggen11.22976

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[<HKLM>\System\CurrentControlSet\Services\fltsrv] 'Start' = '00000000'
[<HKLM>\System\CurrentControlSet\Services\fltsrv] 'ImagePath' = 'system32\drivers\fltsrv.sys'
[<HKLM>\System\CurrentControlSet\Services\snapman] 'Start' = '00000000'
[<HKLM>\System\CurrentControlSet\Services\snapman] 'ImagePath' = 'system32\drivers\snapman.sys'
[<HKLM>\System\CurrentControlSet\Services\volume_tracker] 'Start' = '00000000'
[<HKLM>\System\CurrentControlSet\Services\volume_tracker] 'ImagePath' = 'system32\drivers\volume_tracker.sys'

Создает следующие сервисы

'fltsrv' system32\drivers\fltsrv.sys
'snapman' system32\drivers\snapman.sys
'volume_tracker' system32\drivers\volume_tracker.sys

Изменения в файловой системе

Создает следующие файлы

%ProgramFiles(x86)%\trueimagehome\a43\a43.ini
%ProgramFiles(x86)%\trueimagehome\oem_doc_source.dll
%ProgramFiles(x86)%\trueimagehome\onig.dll
%ProgramFiles(x86)%\trueimagehome\pcs_io.dll
%ProgramFiles(x86)%\trueimagehome\re2.dll
%ProgramFiles(x86)%\trueimagehome\readcd.exe
%ProgramFiles(x86)%\trueimagehome\resource.dll
%ProgramFiles(x86)%\trueimagehome\rpc_client.dll
%ProgramFiles(x86)%\trueimagehome\thread_pool.dll
%ProgramFiles(x86)%\trueimagehome\tib_api.dll
%ProgramFiles(x86)%\trueimagehome\tib_mounter.dll
%ProgramFiles(x86)%\trueimagehome\trueimage.exe
%ProgramFiles(x86)%\trueimagehome\trueimage_starter_x86.exe
%ProgramFiles(x86)%\trueimagehome\ulxmlrpcpp.dll
%ProgramFiles(x86)%\trueimagehome\vccorlib120.dll
%ProgramFiles(x86)%\trueimagehome\winpthreads4.dll
%ProgramFiles(x86)%\trueimagehome\wnaspi32.dll
%ProgramFiles(x86)%\trueimagehome\zstd.dll
%WINDIR%\syswow64\snapapi.dll
%WINDIR%\syswow64\volume_tracker_driver_api.dll
%WINDIR%\syswow64\drivers\fltsrv.sys
%WINDIR%\syswow64\drivers\snapman.sys
%WINDIR%\syswow64\drivers\volume_tracker.sys
%ALLUSERSPROFILE%\acronis\trueimagehome\gadatabase\timers.db-journal
%ALLUSERSPROFILE%\acronis\trueimagehome\gadatabase\timers.db
%ALLUSERSPROFILE%\acronis\trueimagehome\gadatabase\timers.db-shm
%ProgramFiles(x86)%\trueimagehome\msvcr120.dll
%ALLUSERSPROFILE%\acronis\trueimagehome\gadatabase\timers.db-wal
%ProgramFiles(x86)%\trueimagehome\msvcp120.dll
%ProgramFiles(x86)%\trueimagehome\logging.dll
%ProgramFiles(x86)%\trueimagehome\a43\7z.dll
%ProgramFiles(x86)%\trueimagehome\a43\a43.exe
%ProgramFiles(x86)%\trueimagehome\a43\texteditorpe.exe
%ProgramFiles(x86)%\trueimagehome\archive3.dll
%ProgramFiles(x86)%\trueimagehome\archive3_adapter.dll
%ProgramFiles(x86)%\trueimagehome\astor_client.dll
%ProgramFiles(x86)%\trueimagehome\backup_worker.exe
%ProgramFiles(x86)%\trueimagehome\boot_assist.dll
%ProgramFiles(x86)%\trueimagehome\cdrecord2.exe
%ProgramFiles(x86)%\trueimagehome\disk_backup.dll
%ProgramFiles(x86)%\trueimagehome\drivers\fltsrv.sys
%ProgramFiles(x86)%\trueimagehome\drivers\sc.exe
%ProgramFiles(x86)%\trueimagehome\drivers\snapapi.dll
%ProgramFiles(x86)%\trueimagehome\drivers\snapman.sys
%ProgramFiles(x86)%\trueimagehome\drivers\volume_tracker.sys
%ProgramFiles(x86)%\trueimagehome\drivers\volume_tracker_driver_api.dll
%ProgramFiles(x86)%\trueimagehome\expat.dll
%ProgramFiles(x86)%\trueimagehome\file_backup.dll
%ProgramFiles(x86)%\trueimagehome\fox.dll
%ProgramFiles(x86)%\trueimagehome\growisofs.exe
%ProgramFiles(x86)%\trueimagehome\icu38.dll
%ProgramFiles(x86)%\trueimagehome\icudt38.dll
%ProgramFiles(x86)%\trueimagehome\kb_link.dll
%ProgramFiles(x86)%\trueimagehome\libcrypto10.dll
%ProgramFiles(x86)%\trueimagehome\libssl10.dll
%ProgramFiles(x86)%\trueimagehome\mspack.dll
%ALLUSERSPROFILE%\acronis\snapapilogs\snapapi-20201117-040741-260.0.log

Удаляет следующие файлы

%ALLUSERSPROFILE%\acronis\trueimagehome\gadatabase\timers.db-journal

Другое

Ищет следующие окна

ClassName: 'TRUEIMAGE_DUMMY_APPLICATION_WINDOW' WindowName: ''

Создает и запускает на исполнение

'%ProgramFiles(x86)%\trueimagehome\trueimage_starter_x86.exe'
'%ProgramFiles(x86)%\trueimagehome\trueimage.exe'
'%WINDIR%\syswow64\cmd.exe' /c sc create fltsrv type= kernel start= boot binpath= "system32\drivers\fltsrv.sys"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c sc create snapman type= kernel start= boot binpath= "system32\drivers\snapman.sys"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c sc create volume_tracker type= kernel start= boot binpath= "system32\drivers\volume_tracker.sys"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c net start fltsrv' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c net start snapman' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c net start volume_tracker' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c sc create fltsrv type= kernel start= boot binpath= "system32\drivers\fltsrv.sys"
'%WINDIR%\syswow64\sc.exe' create fltsrv type= kernel start= boot binpath= "system32\drivers\fltsrv.sys"
'%WINDIR%\syswow64\cmd.exe' /c sc create snapman type= kernel start= boot binpath= "system32\drivers\snapman.sys"
'%WINDIR%\syswow64\sc.exe' create snapman type= kernel start= boot binpath= "system32\drivers\snapman.sys"
'%WINDIR%\syswow64\cmd.exe' /c sc create volume_tracker type= kernel start= boot binpath= "system32\drivers\volume_tracker.sys"
'%WINDIR%\syswow64\sc.exe' create volume_tracker type= kernel start= boot binpath= "system32\drivers\volume_tracker.sys"
'%WINDIR%\syswow64\cmd.exe' /c net start fltsrv
'%WINDIR%\syswow64\net.exe' start fltsrv
'%WINDIR%\syswow64\net1.exe' start fltsrv
'%WINDIR%\syswow64\cmd.exe' /c net start snapman
'%WINDIR%\syswow64\net.exe' start snapman
'%WINDIR%\syswow64\net1.exe' start snapman
'%WINDIR%\syswow64\cmd.exe' /c net start volume_tracker
'%WINDIR%\syswow64\net.exe' start volume_tracker
'%WINDIR%\syswow64\net1.exe' start volume_tracker