Trojan.Siggen12.21383

Техническая информация

Вредоносные функции

Запускает на исполнение

'%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name = "Interezen Process" dir=in action=allow program="%ProgramFiles(x86)%\IPinside_LWS\I3GProc.exe" enable=yes

Изменения в файловой системе

Создает следующие файлы

%LOCALAPPDATA%low\ipinside\i3gsetuplog.log
%ProgramFiles(x86)%\ipinside_lws\certmgr.exe
%ProgramFiles(x86)%\ipinside_lws\cosa.dll
%WINDIR%\hipiw.dll
%ProgramFiles(x86)%\ipinside_lws\i3gescp.dll
%ProgramFiles(x86)%\ipinside_lws\i3gex.exe
%ProgramFiles(x86)%\ipinside_lws\i3ginit.exe
%ProgramFiles(x86)%\ipinside_lws\i3gsvcmanager.exe
D:\ae42b4493b50b6e99e07b335a5f85d\vc_red.cab
D:\ae42b4493b50b6e99e07b335a5f85d\vc_red.msi
%ProgramFiles(x86)%\ipinside_lws\libeay32.dll
D:\ae42b4493b50b6e99e07b335a5f85d\install.exe
D:\ae42b4493b50b6e99e07b335a5f85d\eula.1042.txt
D:\ae42b4493b50b6e99e07b335a5f85d\globdata.ini
D:\ae42b4493b50b6e99e07b335a5f85d\install.ini
D:\ae42b4493b50b6e99e07b335a5f85d\vcredist.bmp
D:\ae42b4493b50b6e99e07b335a5f85d\$shtdwn$.req
%TEMP%\dd_vcredistui45e6.txt
%TEMP%\dd_vcredistmsi45e6.txt
%BOOT_VOL%\boot\bcd.log
%BOOT_VOL%\boot\bcd
%ProgramFiles(x86)%\ipinside_lws\certfr\sqlite3.dll
%ProgramFiles(x86)%\ipinside_lws\certfr\ssl3.dll
%ProgramFiles(x86)%\ipinside_lws\certfr\softokn3.dll
%ProgramFiles(x86)%\ipinside_lws\certfr\smime3.dll
%ProgramFiles(x86)%\ipinside_lws\certfr\nssutil3.dll
%ProgramFiles(x86)%\ipinside_lws\i3gmanager.dll
%ProgramFiles(x86)%\ipinside_lws\i3gproc.exe
%ProgramFiles(x86)%\ipinside_lws\interezen.crt
%ProgramFiles(x86)%\ipinside_lws\interezen.opt
%ProgramFiles(x86)%\ipinside_lws\interezen_sha1.crt
%ProgramFiles(x86)%\ipinside_lws\interezen_sha1.opt
%ProgramFiles(x86)%\ipinside_lws\interezenk.opt
%ProgramFiles(x86)%\ipinside_lws\interezenk_sha1.opt
%ProgramFiles(x86)%\ipinside_lws\interezen-rootca.crt
%WINDIR%\installer\$patchcache$\managed\2a868788ed6d5523aa29aab0a5958b47\9.0.30729\fl_msdia71_dll_2_60035_x86_ln.3643236f_fc70_11d3_a536_0090278a1bb8
D:\ae42b4493b50b6e99e07b335a5f85d\install.res.1042.dll
%ProgramFiles(x86)%\ipinside_lws\interezen-rootca_sha1.crt
%ProgramFiles(x86)%\ipinside_lws\vcredist_x86.exe
%ProgramFiles(x86)%\ipinside_lws\certfr\certutil.exe
%ProgramFiles(x86)%\ipinside_lws\certfr\freebl3.dll
%ProgramFiles(x86)%\ipinside_lws\certfr\libnspr4.dll
%ProgramFiles(x86)%\ipinside_lws\certfr\libplc4.dll
%ProgramFiles(x86)%\ipinside_lws\certfr\libplds4.dll
%ProgramFiles(x86)%\ipinside_lws\certfr\nss3.dll
%ProgramFiles(x86)%\ipinside_lws\certfr\nssckbi.dll
%ProgramFiles(x86)%\ipinside_lws\certfr\nssdbm3.dll
%ProgramFiles(x86)%\ipinside_lws\i3gmainsvc.exe
%ProgramFiles(x86)%\ipinside_lws\ssleay32.dll
%TEMP%\vwlf630.tmp

Присваивает атрибут 'скрытый' для следующих файлов

%WINDIR%\hipiw.dll

Удаляет следующие файлы

%TEMP%\vwlf630.tmp
D:\ae42b4493b50b6e99e07b335a5f85d\vcredist.bmp
D:\ae42b4493b50b6e99e07b335a5f85d\install.ini
D:\ae42b4493b50b6e99e07b335a5f85d\globdata.ini
D:\ae42b4493b50b6e99e07b335a5f85d\eula.1042.txt
D:\ae42b4493b50b6e99e07b335a5f85d\install.res.1042.dll
D:\ae42b4493b50b6e99e07b335a5f85d\install.exe
D:\ae42b4493b50b6e99e07b335a5f85d\vc_red.msi
D:\ae42b4493b50b6e99e07b335a5f85d\vc_red.cab

Изменяет следующие файлы

%LOCALAPPDATA%\microsoft\windows\usrclass.dat.log1
%LOCALAPPDATA%\microsoft\windows\usrclass.dat

Сетевая активность

Подключается к

'microsoft.com':80
'public-trust.com':80

UDP

DNS ASK microsoft.com
DNS ASK public-trust.com

Другое

Создает и запускает на исполнение

'%ProgramFiles(x86)%\ipinside_lws\vcredist_x86.exe' /q:a /c:"msiexec /i vcredist.msi /qn /l*v %temp%credist_x86.log"
'D:\ae42b4493b50b6e99e07b335a5f85d\install.exe' /q:a /c:"msiexec /i vcredist.msi /qn /l*v %temp%credist_x86.log"
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall delete rule name = "Interezen Process"' (со скрытым окном)
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name = "Interezen Process" dir=in action=allow program="%ProgramFiles(x86)%\IPinside_LWS\I3GProc.exe" enable=yes' (со скрытым окном)
'%ProgramFiles(x86)%\ipinside_lws\vcredist_x86.exe' /q:a /c:"msiexec /i vcredist.msi /qn /l*v %temp%credist_x86.log"' (со скрытым окном)

Запускает на исполнение