Trojan.Siggen13.1264

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'system recover' = '"%ProgramFiles(x86)%\Reference Assemblies\Rarydyvaelae.exe"'

Изменения в файловой системе

Создает следующие файлы

%TEMP%\is-8m187.tmp\<Имя файла>.tmp
%ProgramFiles(x86)%\i-record\is-4caee.tmp
%ProgramFiles(x86)%\i-record\is-5b5c2.tmp
%ProgramFiles(x86)%\i-record\is-tvkoh.tmp
%ProgramFiles(x86)%\i-record\is-19lg1.tmp
%ProgramFiles(x86)%\i-record\is-rf43t.tmp
%ProgramFiles(x86)%\i-record\is-rhbue.tmp
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\i-record.lnk
%TEMP%\is-kmmid.tmp\_isetup\_setup64.tmp
%ProgramFiles(x86)%\i-record\unins000.dat
%TEMP%\d5-c20cc-40a-137b8-a04912b255037\dilyligagy.exe
%TEMP%\d5-c20cc-40a-137b8-a04912b255037\dilyligagy.exe.config
%TEMP%\cc-5bc26-b5b-cdf8b-8196e97ead62c\kenessey.txt
%TEMP%\cc-5bc26-b5b-cdf8b-8196e97ead62c\xatataekohu.exe
%TEMP%\cc-5bc26-b5b-cdf8b-8196e97ead62c\xatataekohu.exe.config
%ProgramFiles(x86)%\i-record\is-5glni.tmp
%ProgramFiles(x86)%\i-record\is-901d1.tmp
%ProgramFiles(x86)%\i-record\is-te40p.tmp
%ProgramFiles(x86)%\i-record\is-vk83v.tmp
%ProgramFiles(x86)%\i-record\is-1csh8.tmp
%ProgramFiles(x86)%\i-record\is-ur1l5.tmp
%ProgramFiles(x86)%\i-record\is-10kfp.tmp
%ProgramFiles(x86)%\i-record\is-1u4ep.tmp
%TEMP%\is-kmmid.tmp\_isetup\_shfoldr.dll
%ProgramFiles(x86)%\i-record\is-nuknd.tmp
%TEMP%\is-eqi0s.tmp\irecord.tmp
%ProgramFiles%\gc\ubohlubyju\irecord.exe.config
%ProgramFiles%\gc\ubohlubyju\irecord.exe
%TEMP%\is-eme1q.tmp\recording.exe
%TEMP%\is-eme1q.tmp\idp.dll
%TEMP%\is-eme1q.tmp\_isetup\_shfoldr.dll
%TEMP%\is-eme1q.tmp\_isetup\_setup64.tmp
%ProgramFiles(x86)%\reference assemblies\rarydyvaelae.exe
%ProgramFiles(x86)%\reference assemblies\rarydyvaelae.exe.config

Удаляет следующие файлы

%TEMP%\is-kmmid.tmp\_isetup\_setup64.tmp
%TEMP%\is-kmmid.tmp\_isetup\_shfoldr.dll
%TEMP%\is-eqi0s.tmp\irecord.tmp
%TEMP%\is-eme1q.tmp\idp.dll
%TEMP%\is-eme1q.tmp\recording.exe
%TEMP%\is-eme1q.tmp\_isetup\_setup64.tmp
%TEMP%\is-eme1q.tmp\_isetup\_shfoldr.dll
%TEMP%\is-8m187.tmp\<Имя файла>.tmp

Перемещает следующие файлы

%ProgramFiles(x86)%\i-record\is-1u4ep.tmp в %ProgramFiles(x86)%\i-record\unins000.exe
%ProgramFiles(x86)%\i-record\is-10kfp.tmp в %ProgramFiles(x86)%\i-record\i-record.exe
%ProgramFiles(x86)%\i-record\is-ur1l5.tmp в %ProgramFiles(x86)%\i-record\aforge.video.dll
%ProgramFiles(x86)%\i-record\is-1csh8.tmp в %ProgramFiles(x86)%\i-record\aforge.video.ffmpeg.dll
%ProgramFiles(x86)%\i-record\is-vk83v.tmp в %ProgramFiles(x86)%\i-record\avcodec-53.dll
%ProgramFiles(x86)%\i-record\is-te40p.tmp в %ProgramFiles(x86)%\i-record\avdevice-53.dll
%ProgramFiles(x86)%\i-record\is-901d1.tmp в %ProgramFiles(x86)%\i-record\avfilter-2.dll
%ProgramFiles(x86)%\i-record\is-5glni.tmp в %ProgramFiles(x86)%\i-record\avformat-53.dll
%ProgramFiles(x86)%\i-record\is-4caee.tmp в %ProgramFiles(x86)%\i-record\avutil-51.dll
%ProgramFiles(x86)%\i-record\is-5b5c2.tmp в %ProgramFiles(x86)%\i-record\bunifu_ui_v1.52.dll
%ProgramFiles(x86)%\i-record\is-tvkoh.tmp в %ProgramFiles(x86)%\i-record\linqbridge.dll
%ProgramFiles(x86)%\i-record\is-19lg1.tmp в %ProgramFiles(x86)%\i-record\postproc-52.dll
%ProgramFiles(x86)%\i-record\is-rf43t.tmp в %ProgramFiles(x86)%\i-record\i-record.exe.config
%ProgramFiles(x86)%\i-record\is-rhbue.tmp в %ProgramFiles(x86)%\i-record\swresample-0.dll
%ProgramFiles(x86)%\i-record\is-nuknd.tmp в %ProgramFiles(x86)%\i-record\swscale-2.dll

Сетевая активность

Подключается к

'i-######.#3-eu-west-1.amazonaws.com':80
'co###ctini.net':443
'microsoft.com':80
'i-######.#3-eu-west-1.amazonaws.com':443
'la#########.s3.eu-north-1.amazonaws.com':443
'x.##2.us':80
're#######t4sbackv97qarke3.com':80
'ip###ger.org':443
'google.com':80

TCP

Запросы HTTP POST

http://re#######t4sbackv97qarke3.com/sCTMqVJusfff2DEP/eYzrrbN8esV7bvgC

'co###ctini.net':443

'i-######.#3-eu-west-1.amazonaws.com':443

'la#########.s3.eu-north-1.amazonaws.com':443

'ip###ger.org':443

UDP

DNS ASK i-######.#3-eu-west-1.amazonaws.com
DNS ASK co###ctini.net
DNS ASK microsoft.com
DNS ASK la#########.s3.eu-north-1.amazonaws.com
DNS ASK x.##2.us
DNS ASK re#######t4sbackv97qarke3.com
DNS ASK ip###ger.org
DNS ASK google.com

Другое

Создает и запускает на исполнение

'%TEMP%\is-8m187.tmp\<Имя файла>.tmp' /SL5="$D0238,506086,422400,<Полный путь к файлу>"
'%TEMP%\is-eme1q.tmp\recording.exe' /S /UID=irecch6
'%ProgramFiles%\gc\ubohlubyju\irecord.exe' /VERYSILENT
'%TEMP%\is-eqi0s.tmp\irecord.tmp' /SL5="$160218,6265333,408064,%ProgramFiles%\gc\UBOHLUBYJU\irecord.exe" /VERYSILENT
'%TEMP%\d5-c20cc-40a-137b8-a04912b255037\dilyligagy.exe'
'%TEMP%\cc-5bc26-b5b-cdf8b-8196e97ead62c\xatataekohu.exe'
'%TEMP%\is-eme1q.tmp\recording.exe' /S /UID=irecch6' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /k %TEMP%\tiwbholv.qr2\md6_6ydj.exe & exit' (со скрытым окном)

Запускает на исполнение

'%ProgramFiles(x86)%\internet explorer\iexplore.exe' https://www.pr#######etrustednetwork.com/e2q8zu9hu?ke##################################
'<SYSTEM32>\cmd.exe' /k %TEMP%\tiwbholv.qr2\md6_6ydj.exe & exit