Trojan.Siggen12.1123

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'IvySanXuatClient' = '<Полный путь к файлу>'

Изменения в файловой системе

Создает следующие файлы

%TEMP%\468a0c8203a4412d8c0163cb929f2650.tmp
<Текущая директория>\conf\print\logo ivy.png
<Текущая директория>\conf\print\thongsosanxuat.html
<Текущая директория>\conf\print\bienbanduyetmau.html
%TEMP%\c2b6c806bc7e42539aa8b3c5af58d2c5.tmp
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\o5ye9jsb\desktop.ini
<Текущая директория>\resources\quanlymautheothang.xml
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\2y0aqum6\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\rxkjh0lq\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\xp68xail\desktop.ini
%APPDATA%\microsoft\windows\cookies\low\index.dat
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\index.dat
%APPDATA%\neos eureka s.r.l\eurekalog\bug reports\<Имя файла>.exe\<Имя файла>.el
<Текущая директория>\resources\denghimuanpl.html
<Текущая директория>\resources\logo ivy.png
<Текущая директория>\print\kythuattpl.xlsx
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\index.dat
<Текущая директория>\print\dinhmucphulieutpl.xlsx
<Текущая директория>\libcurl_ivy.dll
%TEMP%\d811c0208ba64162aa1a4e960a679594.tmp
%TEMP%\b6fb252f78fe4f93adb4e3ae8f6fa633.tmp
%TEMP%\d06d2cef96054cdfb13e6f17cd33ed80.tmp
%TEMP%\b71d66cd51d9476da8f201a5b2bf97b4.tmp
%TEMP%\23110c250e8b40459407de3ddbf158da.tmp
%TEMP%\9d568252fc104abba15e155df4bb5551.tmp
%TEMP%\b67bf0f472cb4f23a033c27e0a38614e.tmp
<Текущая директория>\cacert.pem
<Текущая директория>\clientsanxuatprotect.exe
<Текущая директория>\doprint.exe
<Текущая директория>\loadsanxuat.exe
<Текущая директория>\7zdec.dll
<Текущая директория>\log\client_log.txt
%HOMEPATH%\desktop\lệnh sản xuất.lnk
<Текущая директория>\template\photos.txt
<Текущая директория>\template\item.txt
<Текущая директория>\template\itemlist.xml
<Текущая директория>\imageresizer.exe
<Текущая директория>\skin\white_bottom.png
<Текущая директория>\resources\quanlymau.xml

Присваивает атрибут 'скрытый' для следующих файлов

%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\o5ye9jsb\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\2y0aqum6\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\rxkjh0lq\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\xp68xail\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini

Удаляет следующие файлы

<Текущая директория>\loadsanxuat.exe.del

Перемещает следующие файлы

<Текущая директория>\loadsanxuat.exe в <Текущая директория>\loadsanxuat.exe.del

Сетевая активность

Подключается к

'localhost':49172
'sa#####.ivymonitor.com':443
'po#.##ymonitor.com':443
'localhost':49177
'localhost':49179
'localhost':49181
'localhost':49183
'localhost':49185
'po#.##ymonitor.com':4433
'localhost':49192

TCP

'localhost':49172
'localhost':49173
'sa#####.ivymonitor.com':443
'localhost':49177
'localhost':49179
'localhost':49181
'localhost':49183
'localhost':49185
'localhost':49178
'localhost':49180
'localhost':49184
'localhost':49186
'localhost':49182
'sa#####.ivymonitor.com':4433
'localhost':49192
'localhost':49193

UDP

DNS ASK sa#####.ivymonitor.com
DNS ASK po#.##ymonitor.com

Другое

Ищет следующие окна

ClassName: 'TClientProtectFrm' WindowName: 'ClientProtect'

Создает и запускает на исполнение

'<Текущая директория>\clientsanxuatprotect.exe'
'%WINDIR%\syswow64\ipconfig.exe' ' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\ipconfig.exe'
'%WINDIR%\syswow64\rundll32.exe' "%WINDIR%\syswow64\wininet.dll",DispatchAPICall 1
'<SYSTEM32>\rundll32.exe' <SYSTEM32>\FirewallControlPanel.dll,ShowNotificationDialog /configure /ETOnly 0 /OnProfiles 6 /OtherAllowed 0 /OtherBlocked 0 /OtherEdgeAllowed 0 /NewBlocked 4 "<Полный путь к файлу>"