Trojan.Siggen17.29262

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\sc event trigger test task

Устанавливает следующие настройки сервисов

[<HKLM>\System\CurrentControlSet\Services\SecureConnector] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\SecureConnector] 'ImagePath' = '"%ProgramFiles%\ForeScout SecureConnector\SecureConnector.exe" -service'

Создает следующие сервисы

'SecureConnector' "%ProgramFiles%\ForeScout SecureConnector\SecureConnector.exe" -service

Изменения в файловой системе

Создает следующие файлы

<Текущая директория>\install.cmd
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\forescout secureconnector\uninstall.lnk
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\forescout secureconnector\secureconnector.lnk
%ProgramFiles%\forescout secureconnector\uninstall.lnk
%ProgramFiles%\forescout secureconnector\secureconnector.exe
%ALLUSERSPROFILE%\forescout secureconnector\secureconnectorconfig.exe
%ALLUSERSPROFILE%\forescout secureconnector\logs\sc.log
%ALLUSERSPROFILE%\forescout secureconnector\secureconnectorlogconfig.ini
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\agentscout\sc-nwptjictnbwk2waw8gkxuqhcm2g60rj69zrnhcrjwtxdtbelziweaae-.exe.lnk
%ProgramFiles%\forescout secureconnector\secureconnector.ini.tmp
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\agentscout\32-bit\sc-nwptjictnbwk2waw8gkxuqhcm2g60rj69zrnhcrjwtxdtbelziweaae-.exe.lnk
%ProgramFiles%\connect.inc\agentscout\32-bit\sc-nwptjictnbwk2waw8gkxuqhcm2g60rj69zrnhcrjwtxdtbelziweaae-.exe
%ProgramFiles%\connect.inc\agentscout\sc-nwptjictnbwk2waw8gkxuqhcm2g60rj69zrnhcrjwtxdtbelziweaae-.exe
%APPDATA%\connect.inc\agentscout 11.10.13\install\agentscout1.cab
%TEMP%\msi1f14.tmp
%APPDATA%\connect.inc\agentscout 11.10.13\install\agentscout.x64.msi
%APPDATA%\connect.inc\agentscout 11.10.13\install\agentscout.msi
%WINDIR%\temp\install_forescout-11.0.03.10.13.log
<Текущая директория>\agentscout.exe
%WINDIR%\installer\{8a1a2d79-4353-4ec1-8e76-4511e32261b6}\scout1.exe
%ProgramFiles%\forescout secureconnector\secureconnectorpassword.ini

Удаляет следующие файлы

%TEMP%\msi1f14.tmp
%APPDATA%\connect.inc\agentscout 11.10.13\install\agentscout.msi
%APPDATA%\connect.inc\agentscout 11.10.13\install\agentscout.x64.msi
%APPDATA%\connect.inc\agentscout 11.10.13\install\agentscout1.cab

Перемещает следующие файлы

%ProgramFiles%\forescout secureconnector\secureconnector.ini.tmp в %ProgramFiles%\forescout secureconnector\secureconnector.ini
%ProgramFiles%\connect.inc\agentscout\sc-nwptjictnbwk2waw8gkxuqhcm2g60rj69zrnhcrjwtxdtbelziweaae-.exe в %TEMP%\fsa_tmp_

Сетевая активность

Подключается к

'15#.#9.211.38':10003

Другое

Ищет следующие окна

ClassName: 'EDIT' WindowName: ''
ClassName: 'TrayNotifyWnd' WindowName: ''
ClassName: 'SysPager' WindowName: ''
ClassName: 'ToolbarWindow32' WindowName: ''
ClassName: 'NotifyIconOverflowWindow' WindowName: ''

Создает и запускает на исполнение

'<Текущая директория>\agentscout.exe' /qn
'%WINDIR%\installer\msi37f9.tmp' "%ProgramFiles%\Connect.Inc\AgentScout\SC-nWPTJicTNBwK2WAw8GkxuqhcM2G60rJ69zrNhCRjWtxdTbElzIwEAAE-.exe"
'%ProgramFiles%\connect.inc\agentscout\sc-nwptjictnbwk2waw8gkxuqhcm2g60rj69zrnhcrjwtxdtbelziweaae-.exe'
'%ProgramFiles%\connect.inc\agentscout\sc-nwptjictnbwk2waw8gkxuqhcm2g60rj69zrnhcrjwtxdtbelziweaae-.exe' -elev
'%ProgramFiles%\forescout secureconnector\secureconnector.exe' -service
'%ProgramFiles%\forescout secureconnector\secureconnector.exe' -agent -ip 157.99.211.38 -port 10003 -notify -event FSA_TMP_2812_623CBFE3_0001AGENT_CNTL -capi 0
'%ProgramFiles%\forescout secureconnector\secureconnector.exe' -performer -id AA9790DB10BA4DDB9C28C97CA958E43A -ip 157.99.211.38 -port 10003 -sha256 341C0AD96030F06931BAA85C3361BAD2B27AF73ACD8424635ADC5D4DB125CC8C -event FSA_TMP_2812_623CBFE3_0002PERFORMER...

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c ""<Текущая директория>\Install.cmd" "
'%WINDIR%\syswow64\msiexec.exe' /i "%APPDATA%\Connect.Inc\AgentScout 11.10.13\install\AgentScout.x64.msi" /qn AI_SETUPEXEPATH=<Текущая директория>\AgentScout.exe SETUPEXEDIR=<Текущая директория>\ EXE_CMD_LINE="/exenoupdates ...