Trojan.Siggen13.52077

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\googleupdatetask
<SYSTEM32>\tasks\batteryboostcheckonlogon_{b2hp0844-0772-46l7-baed-a80bd35ac5b8}
<SYSTEM32>\tasks\warsaw's corefixer
<SYSTEM32>\tasks\googleupdatetaskmachineeula
<SYSTEM32>\tasks\microsoftedgeupdatetaskmachineeula
<SYSTEM32>\tasks\win manager
%APPDATA%\microsoft\windows\start menu\programs\startup\google crash handler.lnk
%APPDATA%\microsoft\windows\start menu\programs\startup\~oogle crash handler.tmp
%APPDATA%\microsoft\windows\start menu\programs\startup\google crash handler (x64).lnk
%APPDATA%\microsoft\windows\start menu\programs\startup\~oogle crash handler (x64).tmp

Изменения в файловой системе

Создает следующие файлы

%TEMP%\common apps\1.3.5\decoder.dll
%TEMP%\scrf027.ps1
%TEMP%\proe711.tmp
%TEMP%\psse710.ps1
%TEMP%\scre6fe.ps1
%TEMP%\proddc9.tmp
%TEMP%\pssddc8.ps1
%TEMP%\scrddb6.ps1
%TEMP%\prod4af.tmp
%TEMP%\pssd4ae.ps1
%TEMP%\scrd49d.ps1
%TEMP%\proc993.tmp
%TEMP%\pssc992.ps1
%TEMP%\scrc971.ps1
%TEMP%\proc04b.tmp
%TEMP%\pssc04a.ps1
%TEMP%\scrc039.txt
%TEMP%\scrc029.ps1
%TEMP%\proad81.tmp
%TEMP%\pssad80.ps1
%TEMP%\scrad6f.ps1
%BOOT_VOL%\boot\bcd
%BOOT_VOL%\boot\bcd.log
%LOCALAPPDATA%\advinstanalytics\609e6d462e34391b3a6cc2ae\1.3.5\{719c2687-9a01-4a73-a7a8-fdc8ff79b321}.session
%TEMP%\msi8165.tmp
%TEMP%\msi801c.tmp
%LOCALAPPDATA%\advinstanalytics\609e6d462e34391b3a6cc2ae\1.3.5\{97012dca-58e6-4512-b8b4-8b141f06a298}.session
%LOCALAPPDATA%\advinstanalytics\609e6d462e34391b3a6cc2ae\1.3.5\tracking.ini
%TEMP%\ina7fec.tmp
%TEMP%\common apps\1.3.5\5c0ed08\winrar-x64-600.msi
%TEMP%\pssf049.ps1
%TEMP%\prof04a.tmp

Удаляет следующие файлы

%TEMP%\msi801c.tmp
%TEMP%\ina7fec.tmp
%LOCALAPPDATA%\advinstanalytics\609e6d462e34391b3a6cc2ae\1.3.5\{97012dca-58e6-4512-b8b4-8b141f06a298}.session
%LOCALAPPDATA%\advinstanalytics\609e6d462e34391b3a6cc2ae\1.3.5\{719c2687-9a01-4a73-a7a8-fdc8ff79b321}.session
%APPDATA%\microsoft\windows\start menu\programs\startup\google crash handler (x64).lnk~rf804a1.tmp
%APPDATA%\microsoft\windows\start menu\programs\startup\google crash handler.lnk~rf8033a.tmp
%TEMP%\scrf027.ps1
%TEMP%\pssf049.ps1
%TEMP%\prof04a.tmp
%TEMP%\scre6fe.ps1
%TEMP%\psse710.ps1
%TEMP%\proe711.tmp
%TEMP%\scrddb6.ps1
%TEMP%\pssddc8.ps1
%TEMP%\common apps\1.3.5\decoder.dll
%TEMP%\proddc9.tmp
%TEMP%\pssd4ae.ps1
%TEMP%\prod4af.tmp
%TEMP%\scrc971.ps1
%TEMP%\pssc992.ps1
%TEMP%\proc993.tmp
%TEMP%\scrc039.txt
%TEMP%\scrc029.ps1
%TEMP%\pssc04a.ps1
%TEMP%\proc04b.tmp
%TEMP%\scrad6f.ps1
%TEMP%\pssad80.ps1
%TEMP%\proad81.tmp
%TEMP%\msi8165.tmp
%TEMP%\scrd49d.ps1
%TEMP%\common apps\1.3.5\5c0ed08\winrar-x64-600.msi

Изменяет следующие файлы

%LOCALAPPDATA%\microsoft\windows\usrclass.dat.log1
%LOCALAPPDATA%\microsoft\windows\usrclass.dat

Подменяет следующие файлы

%LOCALAPPDATA%\advinstanalytics\609e6d462e34391b3a6cc2ae\1.3.5\{97012dca-58e6-4512-b8b4-8b141f06a298}.session

Сетевая активность

Подключается к

'microsoft.com':80
'co#####.#nstalleranalytics.com':80

TCP

Запросы HTTP POST

http://co#####.#nstalleranalytics.com/

UDP

DNS ASK microsoft.com
DNS ASK co#####.#nstalleranalytics.com

Другое

Создает и запускает на исполнение

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -Noninteractive -ExecutionPolicy Bypass -File "%TEMP%\pssAD80.ps1" -propFile "%TEMP%\msiAD5E.txt" -scriptFile "%TEMP%\scrAD6F.ps1" -scriptArgsFile "%TEMP%\scrAD70.txt" -propSep " :<-...
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -Noninteractive -ExecutionPolicy Bypass -File "%TEMP%\pssC04A.ps1" -propFile "%TEMP%\msiC028.txt" -scriptFile "%TEMP%\scrC029.ps1" -scriptArgsFile "%TEMP%\scrC039.txt" -propSep " :<-...
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -Noninteractive -ExecutionPolicy Bypass -File "%TEMP%\pssC992.ps1" -propFile "%TEMP%\msiC970.txt" -scriptFile "%TEMP%\scrC971.ps1" -scriptArgsFile "%TEMP%\scrC982.txt" -propSep " :<-...
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -Noninteractive -ExecutionPolicy Bypass -File "%TEMP%\pssD4AE.ps1" -propFile "%TEMP%\msiD48C.txt" -scriptFile "%TEMP%\scrD49D.ps1" -scriptArgsFile "%TEMP%\scrD49E.txt" -propSep " :<-...
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -Noninteractive -ExecutionPolicy Bypass -File "%TEMP%\pssDDC8.ps1" -propFile "%TEMP%\msiDDA6.txt" -scriptFile "%TEMP%\scrDDB6.ps1" -scriptArgsFile "%TEMP%\scrDDB7.txt" -propSep " :<-...
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -Noninteractive -ExecutionPolicy Bypass -File "%TEMP%\pssE710.ps1" -propFile "%TEMP%\msiE6EE.txt" -scriptFile "%TEMP%\scrE6FE.ps1" -scriptArgsFile "%TEMP%\scrE6FF.txt" -propSep " :<-...
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -Noninteractive -ExecutionPolicy Bypass -File "%TEMP%\pssF049.ps1" -propFile "%TEMP%\msiF026.txt" -scriptFile "%TEMP%\scrF027.ps1" -scriptArgsFile "%TEMP%\scrF038.txt" -propSep " :<-...

Запускает на исполнение

'%WINDIR%\syswow64\msiexec.exe' /i "%TEMP%\Common Apps\1.3.5\5C0ED08\winrar-x64-600.msi" MSIINSTALLPERUSER=1 ALLUSERS=2 /qn AI_SETUPEXEPATH=<Полный путь к файлу> SETUPEXEDIR=<Текущая директория>\ EXE_CMD_LINE="/exenoupdates ...