Trojan.Siggen20.35598

Техническая информация

Изменения в файловой системе

Создает следующие файлы

%TEMP%\is-71aeh.tmp\is-mbp52.tmp
%ProgramFiles(x86)%\crdbf\unins000.dat
%ProgramFiles(x86)%\crdbf\repairdbf.ini
%ProgramFiles(x86)%\crdbf\is-d28hd.tmp
%ProgramFiles(x86)%\crdbf\is-jhrso.tmp
%ProgramFiles(x86)%\crdbf\is-ev6g8.tmp
%ProgramFiles(x86)%\crdbf\demo\supl\is-ijhaq.tmp
%ProgramFiles(x86)%\crdbf\demo\supl\is-qifpp.tmp
%ProgramFiles(x86)%\crdbf\demo\supl\is-859a7.tmp
%ProgramFiles(x86)%\crdbf\demo\supl\is-2cocb.tmp
%ProgramFiles(x86)%\crdbf\demo\supl\is-2pvk7.tmp
%ProgramFiles(x86)%\crdbf\demo\supl\is-etr6l.tmp
%ProgramFiles(x86)%\crdbf\demo\supl\is-nusld.tmp
%ProgramFiles(x86)%\crdbf\cr_dbf.exe
%ProgramFiles(x86)%\crdbf\demo\is-igqhj.tmp
%ProgramFiles(x86)%\crdbf\demo\is-2acqa.tmp
%ProgramFiles(x86)%\crdbf\demo\is-s8ebh.tmp
%ProgramFiles(x86)%\crdbf\demo\is-hp9s7.tmp
%ProgramFiles(x86)%\crdbf\is-g33rq.tmp
%ProgramFiles(x86)%\crdbf\is-dpcqv.tmp
%ProgramFiles(x86)%\crdbf\is-lpudr.tmp
%ProgramFiles(x86)%\crdbf\is-12ucf.tmp
%ProgramFiles(x86)%\crdbf\is-cqkcf.tmp
%TEMP%\is-o0rit.tmp\_iscrypt.dll
%TEMP%\is-o0rit.tmp\_isdecmp.dll
%TEMP%\is-o0rit.tmp\_isetup\_shfoldr.dll
%TEMP%\is-o0rit.tmp\_isetup\_setup64.tmp
%ProgramFiles(x86)%\crdbf\demo\is-7dlff.tmp
%TEMP%\license.txt

Перемещает следующие файлы

%ProgramFiles(x86)%\crdbf\is-cqkcf.tmp в %ProgramFiles(x86)%\crdbf\unins000.exe
%ProgramFiles(x86)%\crdbf\is-ev6g8.tmp в %ProgramFiles(x86)%\crdbf\repairdbf.key
%ProgramFiles(x86)%\crdbf\demo\supl\is-ijhaq.tmp в %ProgramFiles(x86)%\crdbf\demo\supl\tstdbf9.dbf
%ProgramFiles(x86)%\crdbf\demo\supl\is-qifpp.tmp в %ProgramFiles(x86)%\crdbf\demo\supl\tstdbf8.dbf
%ProgramFiles(x86)%\crdbf\demo\supl\is-859a7.tmp в %ProgramFiles(x86)%\crdbf\demo\supl\tstdbf7.dbf
%ProgramFiles(x86)%\crdbf\demo\supl\is-2cocb.tmp в %ProgramFiles(x86)%\crdbf\demo\supl\tstdbf6.dbf
%ProgramFiles(x86)%\crdbf\demo\supl\is-2pvk7.tmp в %ProgramFiles(x86)%\crdbf\demo\supl\tstdbf5.dbf
%ProgramFiles(x86)%\crdbf\demo\supl\is-etr6l.tmp в %ProgramFiles(x86)%\crdbf\demo\supl\tstdbf4.dbf
%ProgramFiles(x86)%\crdbf\demo\supl\is-nusld.tmp в %ProgramFiles(x86)%\crdbf\demo\supl\tstdbf2.dbf
%ProgramFiles(x86)%\crdbf\demo\is-igqhj.tmp в %ProgramFiles(x86)%\crdbf\demo\tstdbf5.dbf
%ProgramFiles(x86)%\crdbf\demo\is-7dlff.tmp в %ProgramFiles(x86)%\crdbf\demo\tstdbf4.dbf
%ProgramFiles(x86)%\crdbf\demo\is-2acqa.tmp в %ProgramFiles(x86)%\crdbf\demo\tstdbf3.dbf
%ProgramFiles(x86)%\crdbf\demo\is-s8ebh.tmp в %ProgramFiles(x86)%\crdbf\demo\tstdbf2.dbf
%ProgramFiles(x86)%\crdbf\demo\is-hp9s7.tmp в %ProgramFiles(x86)%\crdbf\demo\tstdbf1.dbf
%ProgramFiles(x86)%\crdbf\is-g33rq.tmp в %ProgramFiles(x86)%\crdbf\pars.txt
%ProgramFiles(x86)%\crdbf\is-dpcqv.tmp в %ProgramFiles(x86)%\crdbf\repairdbf.ini
%ProgramFiles(x86)%\crdbf\is-lpudr.tmp в %ProgramFiles(x86)%\crdbf\chkrepairdbf.chm
%ProgramFiles(x86)%\crdbf\is-12ucf.tmp в %ProgramFiles(x86)%\crdbf\cr_dbf.exe
%ProgramFiles(x86)%\crdbf\is-jhrso.tmp в %ProgramFiles(x86)%\crdbf\help.ico
%ProgramFiles(x86)%\crdbf\is-d28hd.tmp в %ProgramFiles(x86)%\crdbf\icons.bmp

Сетевая активность

Подключается к

'jo####rdmust.sbs':80

TCP

Запросы HTTP GET

http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab?64########

Запросы HTTP POST

http://jo####rdmust.sbs/new/net_api

UDP

DNS ASK jo####rdmust.sbs

Другое

Ищет следующие окна

ClassName: 'T683ed_CRDBF47Class_T683ed' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\is-71aeh.tmp\is-mbp52.tmp' /SL4 $C013A "<Полный путь к файлу>" 4273195 51712
'%ProgramFiles(x86)%\crdbf\cr_dbf.exe'
'%ProgramFiles(x86)%\crdbf\cr_dbf.exe' 649cda5974f580b922d3977297f02925

Запускает на исполнение