Trojan.Siggen12.63692

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\SOFTWARE\Classes\sc-ed049094f99dbbd2\shell\open\command] '' = '"%ProgramFiles(x86)%\ScreenConnect Client (ed049094f99dbbd2)\ScreenConnect.WindowsClient.exe" "%1"'

Изменения в файловой системе

Создает следующие файлы

%TEMP%\setup.msi
%ProgramFiles(x86)%\screenconnect client (ed049094f99dbbd2)\system.config
%ProgramFiles(x86)%\screenconnect client (ed049094f99dbbd2)\client.resources
%ProgramFiles(x86)%\screenconnect client (ed049094f99dbbd2)\client.override.resources
%ProgramFiles(x86)%\screenconnect client (ed049094f99dbbd2)\client.override.en-us.resources
%ProgramFiles(x86)%\screenconnect client (ed049094f99dbbd2)\client.en-us.resources
%ProgramFiles(x86)%\screenconnect client (ed049094f99dbbd2)\app.config
%ProgramFiles(x86)%\screenconnect client (ed049094f99dbbd2)\screenconnect.clientservice.exe
%ProgramFiles(x86)%\screenconnect client (ed049094f99dbbd2)\screenconnect.windowsclient.exe.config
%ProgramFiles(x86)%\screenconnect client (ed049094f99dbbd2)\screenconnect.windowsclient.exe
%WINDIR%\installer\{621cdd9a-ac47-4193-9cc4-c3116d3d1ecd}\defaulticon
%ProgramFiles(x86)%\screenconnect client (ed049094f99dbbd2)\screenconnect.windows.dll
%ProgramFiles(x86)%\screenconnect client (ed049094f99dbbd2)\screenconnect.clientservice.dll
%ProgramFiles(x86)%\screenconnect client (ed049094f99dbbd2)\screenconnect.client.dll
%BOOT_VOL%\boot\bcd
%BOOT_VOL%\boot\bcd.log
%TEMP%\msi3bf6.tmp-\customaction.config
%TEMP%\msi3bf6.tmp-\screenconnect.core.dll
%TEMP%\msi3bf6.tmp-\microsoft.deployment.windowsinstaller.dll
%TEMP%\msi3bf6.tmp-\screenconnect.installeractions.dll
%TEMP%\msi3bf6.tmp
%ProgramFiles(x86)%\screenconnect client (ed049094f99dbbd2)\screenconnect.core.dll
%ALLUSERSPROFILE%\screenconnect client (ed049094f99dbbd2)\oty1nyi5.newcfg

Удаляет следующие файлы

%TEMP%\msi3bf6.tmp-\customaction.config
%TEMP%\msi3bf6.tmp-\microsoft.deployment.windowsinstaller.dll
%TEMP%\msi3bf6.tmp-\screenconnect.core.dll
%TEMP%\msi3bf6.tmp-\screenconnect.installeractions.dll
%TEMP%\msi3bf6.tmp

Перемещает следующие файлы

%ALLUSERSPROFILE%\screenconnect client (ed049094f99dbbd2)\oty1nyi5.newcfg в %ALLUSERSPROFILE%\screenconnect client (ed049094f99dbbd2)\user.config

Изменяет следующие файлы

%LOCALAPPDATA%\microsoft\windows\usrclass.dat.log1
%LOCALAPPDATA%\microsoft\windows\usrclass.dat

Сетевая активность

Подключается к

'he##.##akesupport.com':8041

TCP

'he##.##akesupport.com':8041

UDP

DNS ASK he##.##akesupport.com

Другое

Создает и запускает на исполнение

'%ProgramFiles(x86)%\screenconnect client (ed049094f99dbbd2)\screenconnect.windowsclient.exe' "Rerun" "?e=Access&y=Host&h=help.peakesupport.com&p=8041&s=b160a05d-ecb2-4790-8d70-bf495d52d5e8&k=BgIAAACkAABSU0ExAAgAAAEAAQDtGqr%2fcvbVpuY9bCXHdC6uDs664lXoTRDcH0lNXBL0eWboAwYkapQqgKt5SXW1HqBj%...
'%ProgramFiles(x86)%\screenconnect client (ed049094f99dbbd2)\screenconnect.windowsclient.exe' "?e=Access&y=Host&h=help.peakesupport.com&p=8041&s=b160a05d-ecb2-4790-8d70-bf495d52d5e8&k=BgIAAACkAABSU0ExAAgAAAEAAQDtGqr%2fcvbVpuY9bCXHdC6uDs664lXoTRDcH0lNXBL0eWboAwYkapQqgKt5SXW1HqBj%2fpxTXUh...

Запускает на исполнение

'%WINDIR%\syswow64\msiexec.exe' /i "%TEMP%\setup.msi"
'%WINDIR%\syswow64\rundll32.exe' "%TEMP%\MSI3BF6.tmp",zzzzInvokeManagedCustomActionOutOfProc SfxCA_474976 1 ScreenConnect.InstallerActions!ScreenConnect.ClientInstallerActions.FixupServiceArguments