Trojan.Siggen13.13215

Изменения в файловой системе

Создает следующие файлы

%TEMP%\office2019proplusportable_iysvh9jezokpem5h\configuration.xml
%TEMP%\office2019proplusportable_iysvh9jezokpem5h\setup.exe
%TEMP%\office.validateresult.scratch
%TEMP%\office.validateerror.scratch
%TEMP%\lmuzvzkeaa-20210430-2011.log
%LOCALAPPDATA%\microsoft\office\16.0\setup.exe_rules.xml
%TEMP%\bit7751.tmp
%TEMP%\officec2rbd8a348c-1378-4d5c-bb54-a58f87b953a1\bit83ff.tmp
%TEMP%\officec2rbd8a348c-1378-4d5c-bb54-a58f87b953a1officec2r1fb83963-2511-400d-929c-fd3d745fef2d\v64.hash
%TEMP%\officec2rbd8a348c-1378-4d5c-bb54-a58f87b953a1officec2r1fb83963-2511-400d-929c-fd3d745fef2d\versiondescriptor.xml

Присваивает атрибут 'скрытый' для следующих файлов

Удаляет следующие файлы

Перемещает следующие файлы

%TEMP%\bit7751.tmp в %TEMP%\v64_16.0.10373.20050checkreachable4d84381c-cb6d-47e4-bf8c-165d59fa6ded
%TEMP%\officec2rbd8a348c-1378-4d5c-bb54-a58f87b953a1\bit83ff.tmp в %TEMP%\officec2rbd8a348c-1378-4d5c-bb54-a58f87b953a1\v64_16.0.10373.20050.cab
%TEMP%\officec2rbd8a348c-1378-4d5c-bb54-a58f87b953a1officec2r1fb83963-2511-400d-929c-fd3d745fef2d\v64.hash в %TEMP%\officec2rbd8a348c-1378-4d5c-bb54-a58f87b953a1\v64.hash
%TEMP%\officec2rbd8a348c-1378-4d5c-bb54-a58f87b953a1officec2r1fb83963-2511-400d-929c-fd3d745fef2d\versiondescriptor.xml в %TEMP%\officec2rbd8a348c-1378-4d5c-bb54-a58f87b953a1\versiondescriptor.xml

Подменяет следующие файлы

Сетевая активность

Подключается к

TCP

Запросы HTTP GET

http://of#######.#icrosoft.com.edgesuite.net/pr/f2e724c1-748f-4b47-8fb8-8e0d210e9208/Office/Data/v64_16.0.10373.20050.cab

'ec#.#ffice.com':443

'mr########gr.officeapps.live.com':443

'ne#######s.officeapps.live.com':443

'ne###.##ficeapps.live.com':443

UDP

Другое

Создает и запускает на исполнение

'%TEMP%\office2019proplusportable_iysvh9jezokpem5h\setup.exe' /configure configuration.xml
'%TEMP%\office2019proplusportable_iysvh9jezokpem5h\setup.exe' /configure configuration.xml' (со скрытым окном)
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -NoProfile "$package = Get-AppxPackage Microsoft.Office.Desktop -allUsers; if (!$package) { $Error.Add(\"Package is not installed\")}; if ($error.Count -eq 0) { Out-File -FilePath '%TEMP%\Offic...' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -NoProfile "$package = Get-AppxPackage Microsoft.Office.Desktop -allUsers; if (!$package) { $Error.Add(\"Package is not installed\")}; if ($error.Count -eq 0) { Out-File -FilePath '%TEMP%\Offic...