Trojan.Siggen19.36026

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[<HKLM>\System\CurrentControlSet\Services\Zabbix Agent 2] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\Zabbix Agent 2] 'ImagePath' = '"%ProgramFiles%\Zabbix Agent 2\zabbix_agent2.exe" -c "%ProgramFiles%\Zabbix Agent 2\zabbix_agent2.conf" -f=false'

Создает следующие сервисы

'Zabbix Agent 2' "%ProgramFiles%\Zabbix Agent 2\zabbix_agent2.exe" -c "%ProgramFiles%\Zabbix Agent 2\zabbix_agent2.conf" -f=false

Изменения в файловой системе

Создает следующие файлы

%TEMP%\source\zabbix_agent2.conf
%ProgramFiles%\zabbix agent 2\zabbix_agent2.conf
%ProgramFiles%\zabbix agent 2\zabbix_get.exe
%ProgramFiles%\zabbix agent 2\zabbix_sender.exe
%WINDIR%\installer\{191bfe21-f4d0-46ee-a28b-733a7a9de021}\zabbix_icon.ico
%WINDIR%\installer\msi335a.tmp-\zwixhelper.dll
%WINDIR%\installer\msi335a.tmp-\customaction.config
%WINDIR%\installer\msi335a.tmp-\microsoft.deployment.windowsinstaller.dll
%WINDIR%\installer\msi335a.tmp-\wix.dll
%WINDIR%\installer\msi4e1b.tmp-\customaction.config
%ProgramFiles%\zabbix agent 2\zabbix_agent2.d\metrics.db-journal
%WINDIR%\installer\msi4e1b.tmp-\microsoft.deployment.windowsinstaller.dll
%WINDIR%\installer\msi4e1b.tmp-\wix.dll
%ProgramFiles%\zabbix agent 2\zabbix_agent2.log
%ProgramFiles%\zabbix agent 2\zabbix_agent2.d\agentd.psk
%ProgramFiles%\zabbix agent 2\zabbix_agent2.d\mts_agent2.conf
%ProgramFiles%\zabbix agent 2\zabbix_agent2.d\user_parameters.conf
%ProgramFiles%\zabbix agent 2\zabbix_agent2.d\scripts\sysinfo\getserialnumber.ps1
%ProgramFiles%\zabbix agent 2\zabbix_agent2.d\scripts\sysinfo\memory.ps1
%ProgramFiles%\zabbix agent 2\zabbix_agent2.exe
%WINDIR%\installer\msi4e1b.tmp-\zwixhelper.dll
%ProgramFiles%\zabbix agent 2\zabbix_agent2.d\plugins.d\modbus.conf
%TEMP%\ps97ac.tmp
%TEMP%\source\zabbix_agent2.d\agentd.psk
%TEMP%\source\zabbix_agent2.d\mts_agent2.conf
%TEMP%\source\zabbix_agent2.d\scripts\sysinfo\getserialnumber.ps1
%TEMP%\source\zabbix_agent2.d\scripts\sysinfo\memory.ps1
%TEMP%\source\zabbix_agent2.d\user_parameters.conf
%TEMP%\zabbix-agent-installer.msi
%TEMP%\zabbix_agent2-6.2.6-windows-amd64-openssl.msi
%TEMP%\zabbix_agent2-6.2.6-windows-i386-openssl.msi
%TEMP%\zabbix-install-miarm.log
%ProgramFiles%\zabbix agent 2\zabbix_agent2.d\plugins.d\redis.conf
%WINDIR%\temp\3e2a2.mst
%WINDIR%\temp\3e2a3.mst
%ProgramFiles%\zabbix agent 2\zabbix_agent2.d\plugins.d\memcached.conf
%ProgramFiles%\zabbix agent 2\zabbix_agent2.d\plugins.d\docker.conf
%ProgramFiles%\zabbix agent 2\zabbix_agent2.d\plugins.d\mysql.conf
%ProgramFiles%\zabbix agent 2\zabbix_agent2.d\plugins.d\oracle.conf
%ProgramFiles%\zabbix agent 2\zabbix_agent2.d\plugins.d\ceph.conf
%ProgramFiles%\zabbix agent 2\zabbix_agent2.d\plugins.d\smart.conf
%ProgramFiles%\zabbix agent 2\zabbix_agent2.d\plugins.d\mqtt.conf
%ProgramFiles%\zabbix agent 2\zabbix_agent2.d\metrics.db

Удаляет следующие файлы

%WINDIR%\temp\3e2a2.mst
%TEMP%\source\zabbix_agent2.d\user_parameters.conf
%TEMP%\source\zabbix_agent2.d\mts_agent2.conf
%TEMP%\source\zabbix_agent2.d\agentd.psk
%TEMP%\zabbix_agent2-6.2.6-windows-i386-openssl.msi
%TEMP%\zabbix_agent2-6.2.6-windows-amd64-openssl.msi
%ProgramFiles%\zabbix agent 2\zabbix_agent2.d\metrics.db-journal
%WINDIR%\installer\msi4e1b.tmp-\zwixhelper.dll
%WINDIR%\installer\msi4e1b.tmp-\wix.dll
%WINDIR%\installer\msi4e1b.tmp-\microsoft.deployment.windowsinstaller.dll
%WINDIR%\installer\msi4e1b.tmp-\customaction.config
%WINDIR%\installer\msi335a.tmp-\zwixhelper.dll
%WINDIR%\installer\msi335a.tmp-\wix.dll
%WINDIR%\installer\msi335a.tmp-\microsoft.deployment.windowsinstaller.dll
%WINDIR%\installer\msi335a.tmp-\customaction.config
%WINDIR%\temp\3e2a3.mst
%TEMP%\source\zabbix_agent2.conf
%TEMP%\zabbix-agent-installer.msi

Перемещает следующие файлы

%TEMP%\ps97ac.tmp в %TEMP%\ps97ac.tmp.ps1

Изменяет следующие файлы

%LOCALAPPDATA%\microsoft\windows\usrclass.dat.log1
%LOCALAPPDATA%\microsoft\windows\usrclass.dat

Подменяет следующие файлы

%ProgramFiles%\zabbix agent 2\zabbix_agent2.d\metrics.db-journal

Сетевая активность

Подключается к

'localhost':10051
'00#####wplook02.mts.ru':10051

TCP

Другие

'00#####wplook02.mts.ru':10051

UDP

DNS ASK 00#####wplook02.mts.ru

Другое

Создает и запускает на исполнение

'%WINDIR%\installer\msi95fa.tmp' /s
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -ExecutionPolicy Bypass -file "%TEMP%\ps97AC.tmp.ps1"
'%ProgramFiles%\zabbix agent 2\zabbix_agent2.exe' --config "%ProgramFiles%\Zabbix Agent 2\zabbix_agent2.conf" --install
'%ProgramFiles%\zabbix agent 2\zabbix_agent2.exe' --config "%ProgramFiles%\Zabbix Agent 2\zabbix_agent2.conf" --start
'%ProgramFiles%\zabbix agent 2\zabbix_agent2.exe' -c "%ProgramFiles%\Zabbix Agent 2\zabbix_agent2.conf" -f=false

Запускает на исполнение

'%WINDIR%\syswow64\msiexec.exe' /i %TEMP%\zabbix-agent-installer.msi /qn
'%WINDIR%\syswow64\msiexec.exe' /i "%TEMP%\zabbix_agent2-6.2.6-windows-amd64-openssl.msi" /passive SERVER=127.0.0.1 SERVERACTIVE=127.0.0.1
'%WINDIR%\syswow64\rundll32.exe' "%WINDIR%\Installer\MSI335A.tmp",zzzzInvokeManagedCustomActionOutOfProc SfxCA_865181 288 ZWixHelper!ZWixHelper.ZWixHelper.QuietExecAndMsgOut
'%WINDIR%\syswow64\rundll32.exe' "%WINDIR%\Installer\MSI4E1B.tmp",zzzzInvokeManagedCustomActionOutOfProc SfxCA_872061 294 ZWixHelper!ZWixHelper.ZWixHelper.QuietExecAndMsgOut