Trojan.Siggen20.36290

Техническая информация

Изменения в файловой системе

Создает следующие файлы

%TEMP%\is-4e5fp.tmp\is-ogrr1.tmp
%ProgramFiles(x86)%\crdbg\unins000.dat
%ProgramFiles(x86)%\crdbg\repairdbf.ini
%ProgramFiles(x86)%\crdbg\is-cratk.tmp
%ProgramFiles(x86)%\crdbg\is-ti0km.tmp
%ProgramFiles(x86)%\crdbg\is-8dcpb.tmp
%ProgramFiles(x86)%\crdbg\demo\supl\is-hmbau.tmp
%ProgramFiles(x86)%\crdbg\demo\supl\is-8ivmt.tmp
%ProgramFiles(x86)%\crdbg\demo\supl\is-kavth.tmp
%ProgramFiles(x86)%\crdbg\demo\supl\is-hrtit.tmp
%ProgramFiles(x86)%\crdbg\demo\supl\is-u2cv1.tmp
%ProgramFiles(x86)%\crdbg\demo\supl\is-mnt4a.tmp
%ProgramFiles(x86)%\crdbg\demo\supl\is-ap577.tmp
%ProgramFiles(x86)%\crdbg\cr_dbf.exe
%ProgramFiles(x86)%\crdbg\demo\is-tvqm8.tmp
%ProgramFiles(x86)%\crdbg\demo\is-d41i4.tmp
%ProgramFiles(x86)%\crdbg\demo\is-3ml10.tmp
%ProgramFiles(x86)%\crdbg\demo\is-jo9pk.tmp
%ProgramFiles(x86)%\crdbg\is-rjeec.tmp
%ProgramFiles(x86)%\crdbg\is-neugj.tmp
%ProgramFiles(x86)%\crdbg\is-bp4e3.tmp
%ProgramFiles(x86)%\crdbg\is-hm0n7.tmp
%ProgramFiles(x86)%\crdbg\is-60n03.tmp
%TEMP%\is-khqju.tmp\_iscrypt.dll
%TEMP%\is-khqju.tmp\_isdecmp.dll
%TEMP%\is-khqju.tmp\_isetup\_shfoldr.dll
%TEMP%\is-khqju.tmp\_isetup\_setup64.tmp
%ProgramFiles(x86)%\crdbg\demo\is-17e54.tmp
%TEMP%\license.txt

Перемещает следующие файлы

%ProgramFiles(x86)%\crdbg\is-60n03.tmp в %ProgramFiles(x86)%\crdbg\unins000.exe
%ProgramFiles(x86)%\crdbg\is-8dcpb.tmp в %ProgramFiles(x86)%\crdbg\repairdbf.key
%ProgramFiles(x86)%\crdbg\demo\supl\is-hmbau.tmp в %ProgramFiles(x86)%\crdbg\demo\supl\tstdbf9.dbf
%ProgramFiles(x86)%\crdbg\demo\supl\is-8ivmt.tmp в %ProgramFiles(x86)%\crdbg\demo\supl\tstdbf8.dbf
%ProgramFiles(x86)%\crdbg\demo\supl\is-kavth.tmp в %ProgramFiles(x86)%\crdbg\demo\supl\tstdbf7.dbf
%ProgramFiles(x86)%\crdbg\demo\supl\is-hrtit.tmp в %ProgramFiles(x86)%\crdbg\demo\supl\tstdbf6.dbf
%ProgramFiles(x86)%\crdbg\demo\supl\is-u2cv1.tmp в %ProgramFiles(x86)%\crdbg\demo\supl\tstdbf5.dbf
%ProgramFiles(x86)%\crdbg\demo\supl\is-mnt4a.tmp в %ProgramFiles(x86)%\crdbg\demo\supl\tstdbf4.dbf
%ProgramFiles(x86)%\crdbg\demo\supl\is-ap577.tmp в %ProgramFiles(x86)%\crdbg\demo\supl\tstdbf2.dbf
%ProgramFiles(x86)%\crdbg\demo\is-tvqm8.tmp в %ProgramFiles(x86)%\crdbg\demo\tstdbf5.dbf
%ProgramFiles(x86)%\crdbg\demo\is-17e54.tmp в %ProgramFiles(x86)%\crdbg\demo\tstdbf4.dbf
%ProgramFiles(x86)%\crdbg\demo\is-d41i4.tmp в %ProgramFiles(x86)%\crdbg\demo\tstdbf3.dbf
%ProgramFiles(x86)%\crdbg\demo\is-3ml10.tmp в %ProgramFiles(x86)%\crdbg\demo\tstdbf2.dbf
%ProgramFiles(x86)%\crdbg\demo\is-jo9pk.tmp в %ProgramFiles(x86)%\crdbg\demo\tstdbf1.dbf
%ProgramFiles(x86)%\crdbg\is-rjeec.tmp в %ProgramFiles(x86)%\crdbg\pars.txt
%ProgramFiles(x86)%\crdbg\is-neugj.tmp в %ProgramFiles(x86)%\crdbg\repairdbf.ini
%ProgramFiles(x86)%\crdbg\is-bp4e3.tmp в %ProgramFiles(x86)%\crdbg\chkrepairdbf.chm
%ProgramFiles(x86)%\crdbg\is-hm0n7.tmp в %ProgramFiles(x86)%\crdbg\cr_dbf.exe
%ProgramFiles(x86)%\crdbg\is-ti0km.tmp в %ProgramFiles(x86)%\crdbg\help.ico
%ProgramFiles(x86)%\crdbg\is-cratk.tmp в %ProgramFiles(x86)%\crdbg\icons.bmp

Сетевая активность

Подключается к

'jo####rdmust.sbs':80

TCP

Запросы HTTP GET

http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab?64########

Запросы HTTP POST

http://jo####rdmust.sbs/new/net_api

UDP

DNS ASK jo####rdmust.sbs

Другое

Ищет следующие окна

ClassName: 'Lccf65_CRDBG48Class_Lccf65' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\is-4e5fp.tmp\is-ogrr1.tmp' /SL4 $16001E "<Полный путь к файлу>" 4295083 50176
'%ProgramFiles(x86)%\crdbg\cr_dbf.exe'
'%ProgramFiles(x86)%\crdbg\cr_dbf.exe' 00374baa625e5f22c780976deab3de9b

Запускает на исполнение