Trojan.Siggen18.27947

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\itop data recovery update

Изменения в файловой системе

Создает следующие файлы

%TEMP%\itopdatarecovery\end.bat
%TEMP%\itopdatarecovery\itopdatarecovery.exe
%TEMP%\itopdatarecovery\itopinsur.exe
%TEMP%\itopdatarecovery\libcrypto-1_1.dll
%TEMP%\itopdatarecovery\libssl-1_1.dll
%TEMP%\itopdatarecovery\locallang.exe
%TEMP%\itopdatarecovery\productstatistics.dll
%TEMP%\itopdatarecovery\registeridr.dll
%TEMP%\itopdatarecovery\sendbugreport.exe
%TEMP%\itopdatarecovery\uninstallinfo.exe
%TEMP%\itopdatarecovery\version.dll
%TEMP%\itopdatarecovery\taskapp.log
%TEMP%\itopdatarecovery\itopdatarecovery.log
%APPDATA%\itop data recovery\logs\registry.log
%APPDATA%\itop data recovery\data\statcache.db
%ALLUSERSPROFILE%\itop\idrrtt.ept
%TEMP%\itopdatarecovery\undeleteexception.log
%APPDATA%\itop data recovery\data\idr3stat.ini
%APPDATA%\itop data recovery\vstat.ini
%APPDATA%\itop data recovery\logs\autoupdate.log
%ALLUSERSPROFILE%\itop\aupdate.ini
%TEMP%\itopdatarecovery\update\update.ini.tmp
%TEMP%\itopdatarecovery\infohelp.dll
%TEMP%\itopdatarecovery\update\update.ini
%TEMP%\itopdatarecovery\idrinit.exe
%TEMP%\itopdatarecovery\iconpin64.dll
%TEMP%\itopdatarecovery\eula.rtf
%TEMP%\itopdatarecovery\history\history.txt
%TEMP%\itopdatarecovery\history\korean.txt
%TEMP%\itopdatarecovery\lang.dat
%TEMP%\itopdatarecovery\language\english.lng
%TEMP%\itopdatarecovery\language\korean.lng
%TEMP%\itopdatarecovery\madbasic_.bpl
%TEMP%\itopdatarecovery\maddisasm_.bpl
%TEMP%\itopdatarecovery\madexcept_.bpl
%TEMP%\itopdatarecovery\main.ini
%TEMP%\itopdatarecovery\rtl120.bpl
%TEMP%\itopdatarecovery\start.bat
%TEMP%\itopdatarecovery\vcl120.bpl
%TEMP%\itopdatarecovery\vclx120.bpl
%TEMP%\itopdatarecovery\vstat.ini
%TEMP%\itopdatarecovery\winid.dat
%TEMP%\itopdatarecovery\aupdate.exe
%TEMP%\itopdatarecovery\autoupdate.exe
%TEMP%\itopdatarecovery\datastate.dll
%TEMP%\itopdatarecovery\iconpin32.dll
%TEMP%\itopdatarecovery\iconpin32.exe
%TEMP%\itopdatarecovery\iconpin64.exe
%APPDATA%\itop data recovery\main.ini

Удаляет следующие файлы

%TEMP%\itopdatarecovery\update\update.ini.tmp

Сетевая активность

Подключается к

'up####.itopvpn.com':80
'st###.itopvpn.com':443
'x.##2.us':80
'microsoft.com':80
'o.##2.us':80
'oc##.###tg2.amazontrust.com':80
'oc##.####ca1.amazontrust.com':80

TCP

Запросы HTTP GET

http://up####.itopvpn.com/infofiles/idr3/pro-update.upt
http://x.##2.us/x.cer
http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt
http://o.##2.us//MEowSDBGMEQwQjAJBgUrDgMCGgUABBSLwZ6EW5gdYc9UaSEaaLjjETNtkAQUv1%2B30c7dH4b0W1Ws3NcQwg6piOcCCQCnDkpMNIK3fw%3D%3D
http://oc##.###tg2.amazontrust.com/MFQwUjBQME4wTDAJBgUrDgMCGgUABBSIfaREXmfqfJR3TkMYnD7O5MhzEgQUnF8A36oB1zArOIiiuG1KnPIRkYMCEwZ%2FlEoqJ83z%2BsKuKwH5CO65xMY%3D

Другие

'st###.itopvpn.com':443

UDP

DNS ASK up####.itopvpn.com
DNS ASK st###.itopvpn.com
DNS ASK x.##2.us
DNS ASK microsoft.com
DNS ASK o.##2.us
DNS ASK oc##.###tg2.amazontrust.com
DNS ASK oc##.####ca1.amazontrust.com

Другое

Ищет следующие окна

ClassName: 'TFrm_UndeleteMain' WindowName: 'iTop Data Recovery'

Создает и запускает на исполнение

'%TEMP%\itopdatarecovery\itopdatarecovery.exe'
'%TEMP%\itopdatarecovery\autoupdate.exe' /auto
'%TEMP%\itopdatarecovery\aupdate.exe' /idr /dayactive
'<SYSTEM32>\cmd.exe' /c attrib +h "%TEMP%\iTopDataRecovery"' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c @pushd "%TEMP%\iTopDataRecovery" >nul 2>&1 & CALL "%TEMP%\iTopDataRecovery\start.bat"' (со скрытым окном)
'%TEMP%\itopdatarecovery\autoupdate.exe' /auto' (со скрытым окном)
'%TEMP%\itopdatarecovery\aupdate.exe' /idr /dayactive' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c attrib +h "%TEMP%\iTopDataRecovery"
'<SYSTEM32>\attrib.exe' +h "%TEMP%\iTopDataRecovery"
'<SYSTEM32>\cmd.exe' /c @pushd "%TEMP%\iTopDataRecovery" >nul 2>&1 & CALL "%TEMP%\iTopDataRecovery\start.bat"