Trojan.Siggen18.54665

Техническая информация

Вредоносные функции

Загружает и запускает на исполнение

http://31.##.177.216/hfile.bin как hfile.bin

Изменения в файловой системе

Создает следующие файлы

%TEMP%\is-al4do.tmp\<Имя файла>.tmp
%TEMP%\is-15310521.tmp\axcomponentsvcl.bpl
%TEMP%\is-15310521.tmp\commonforms.site.dll
%TEMP%\is-15310521.tmp\localizer.dll
%TEMP%\is-15310521.tmp\googleanalyticshelper.dll
%TEMP%\is-15310521.tmp\browserhelper.dll
%TEMP%\is-15310521.tmp\driverupdater.exe
%TEMP%\is-15310521.tmp\vclie250.bpl
%TEMP%\is-15310521.tmp\axcomponentsrtl.bpl
%TEMP%\is-15310521.tmp\data\main.ini
%ALLUSERSPROFILE%\surfacereduction\fix\driverupdater.exe
%ALLUSERSPROFILE%\surfacereduction\compil23_obf.bat
%ALLUSERSPROFILE%\surfacereduction\currentcontrolset001_obf.bat
%ALLUSERSPROFILE%\surfacereduction\currentcontrolset002.bat
%ALLUSERSPROFILE%\surfacereduction\currentcontrolset003.vbs
%ALLUSERSPROFILE%\surfacereduction\file.bin
%TEMP%\is-15310521.tmp\eula.rtf
%ALLUSERSPROFILE%\surfacereduction\hfile.bin
%TEMP%\is-15310521.tmp\vclimg250.bpl
%TEMP%\is-15310521.tmp\vcl250.bpl
%TEMP%\is-15310521.tmp\rtl250.bpl
%TEMP%\is-mso27.tmp\_isetup\_iscrypt.dll
%TEMP%\is-mso27.tmp\is-2unfp.tmp
%ALLUSERSPROFILE%\surfacereduction\is-i1dep.tmp
%ALLUSERSPROFILE%\surfacereduction\is-3dvi1.tmp
%ALLUSERSPROFILE%\surfacereduction\is-8onbh.tmp
%TEMP%\is-15310521.tmp\setuphelper.dll
C:\users\public\desktop\fix\driverupdater.exe
%TEMP%\is-mso27.tmp\_isetup\_setup64.tmp
%TEMP%\is-15310521.tmp\installerutils.dll
%TEMP%\is-15310521.tmp\lang\deu.lng
%TEMP%\is-15310521.tmp\lang\esp.lng
%TEMP%\is-15310521.tmp\lang\fra.lng
%TEMP%\is-15310521.tmp\lang\ptb.lng
%TEMP%\is-15310521.tmp\lang\ita.lng
%TEMP%\is-15310521.tmp\lang\jpn.lng
%TEMP%\is-15310521.tmp\installer.exe
%TEMP%\is-15310521.tmp\lang\enu.lng
%ALLUSERSPROFILE%\outbyte\driver updater\2.x\logs\checkserialnumber.log
%TEMP%\is-15310521.tmp\__setup\_setup64.tmp

Удаляет следующие файлы

%TEMP%\is-mso27.tmp\_isetup\_iscrypt.dll
%TEMP%\is-mso27.tmp\_isetup\_setup64.tmp
%TEMP%\is-al4do.tmp\<Имя файла>.tmp

Перемещает следующие файлы

%TEMP%\is-mso27.tmp\is-2unfp.tmp в %TEMP%\is-mso27.tmp\setup.exe
%ALLUSERSPROFILE%\surfacereduction\is-i1dep.tmp в %ALLUSERSPROFILE%\surfacereduction\main.bat
%ALLUSERSPROFILE%\surfacereduction\is-3dvi1.tmp в %ALLUSERSPROFILE%\surfacereduction\7za.exe
%ALLUSERSPROFILE%\surfacereduction\is-8onbh.tmp в %ALLUSERSPROFILE%\surfacereduction\fix.zip
%ALLUSERSPROFILE%\surfacereduction\hfile.bin в %ALLUSERSPROFILE%\surfacereduction\hfile.zip

Сетевая активность

Подключается к

'31.##.177.216':80
'microsoft.com':80
'ou##yte.com':443

TCP

Запросы HTTP GET

http://31.##.177.216/hfile.bin

Другие

'ou##yte.com':443

UDP

DNS ASK microsoft.com
DNS ASK ou##yte.com

Другое

Добавляет корневой сертификат

Создает и запускает на исполнение

'%TEMP%\is-al4do.tmp\<Имя файла>.tmp' /SL5="$12015A,25585656,933888,<Полный путь к файлу>"
'%TEMP%\is-mso27.tmp\setup.exe'
'%ALLUSERSPROFILE%\surfacereduction\7za.exe' x "%ALLUSERSPROFILE%\SurfaceReduction\fix.zip" -o"C:\Users\Public\Desktop\" * -r -aoa
'%TEMP%\is-15310521.tmp\installer.exe' /spid:2972 /splha:32319808
'%ALLUSERSPROFILE%\surfacereduction\7za.exe' x -y -p10619mlgrAGP7211mlgrAGP24753 "*.zip"
'%WINDIR%\syswow64\cmd.exe' /c ""%ALLUSERSPROFILE%\SurfaceReduction\main.bat" "' (со скрытым окном)
'%ALLUSERSPROFILE%\surfacereduction\7za.exe' x "%ALLUSERSPROFILE%\SurfaceReduction\fix.zip" -o"C:\Users\Public\Desktop\" * -r -aoa' (со скрытым окном)

Запускает на исполнение