Trojan.Siggen20.46277

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\RunOnce] 'GrpConv' = 'grpconv -o'
[HKLM\Software\Classes\DAEMON.Tools.Pro\shell\open\command] '' = '"%ProgramFiles(x86)%\Daemon Tools Pro\DTAgent.exe" -shellmount "%1"'

Изменения в файловой системе

Создает следующие файлы

%TEMP%\7zipsfx.000\daemon.tools.pro.advanced.v5.0.0316.0317.exe
%ProgramFiles(x86)%\daemon tools pro\plugins\grabbers\gendisc.dll
%ProgramFiles(x86)%\daemon tools pro\plugins\grabbers\gensub.dll
%ProgramFiles(x86)%\daemon tools pro\plugins\grabbers\safedisc.dll
%ProgramFiles(x86)%\daemon tools pro\plugins\grabbers\tages.dll
%ALLUSERSPROFILE%\daemon tools pro\dtsoftbus01.inf
%TEMP%\nsbc4f5.tmp\nsis7z.dll
%ALLUSERSPROFILE%\daemon tools pro\dtpro.dat
%ProgramFiles(x86)%\daemon tools pro\lang\ukr.dll
%ProgramFiles(x86)%\daemon tools pro\plugins\grabbers\gendpm.dll
%ProgramFiles(x86)%\daemon tools pro\uninstall.exe
%TEMP%\nsbc4f5.tmp\nsexec.dll
%TEMP%\nsbc4f5.tmp\system.dll
%ALLUSERSPROFILE%\microsoft\windows\caches\{6352d9c1-5419-4b40-82a7-af617511165d}.2.ver0x0000000000000001.db
%ALLUSERSPROFILE%\microsoft\windows\caches\{6af0698e-d558-4f6e-9b3c-3716689af493}.2.ver0x0000000000000010.db
C:\users\public\desktop\daemon tools pro.lnk
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\daemon tools pro\daemon tools pro.lnk
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\daemon tools pro\daemon tools pro agent.lnk
%ProgramFiles(x86)%\daemon tools pro\sptdinst-x64.exe
%ProgramFiles(x86)%\daemon tools pro\sptdinst-x86.exe
%ProgramFiles(x86)%\daemon tools pro\lang\rus.dll
%ProgramFiles(x86)%\daemon tools pro\lang\enu.dll
%ProgramFiles(x86)%\daemon tools pro\imgengine.dll
%TEMP%\7zipsfx.000\sptd\sptdinst-x86.exe
%TEMP%\nsmb50d.tmp
%ProgramFiles(x86)%\daemon tools pro\dtagent.exe
%ProgramFiles(x86)%\daemon tools pro\dtcommonres.dll
%ProgramFiles(x86)%\daemon tools pro\dthelper.exe
%ProgramFiles(x86)%\daemon tools pro\dtimgeditor.exe
%ProgramFiles(x86)%\daemon tools pro\dtpro.exe
%ProgramFiles(x86)%\daemon tools pro\dtshellhlp.exe
%TEMP%\7zipsfx.000\sptd\sptdinst-x64.exe
%ProgramFiles(x86)%\daemon tools pro\dtshl.propdesc
%ProgramFiles(x86)%\daemon tools pro\dtshl64.dll
%ProgramFiles(x86)%\daemon tools pro\engine.dll
%ProgramFiles(x86)%\daemon tools pro\profiles.ini
%ProgramFiles(x86)%\daemon tools pro\uninstall-main.exe
%ProgramFiles(x86)%\daemon tools pro\dtsoftbus01.cat
%ProgramFiles(x86)%\daemon tools pro\dtsoftbus01.inf
%ProgramFiles(x86)%\daemon tools pro\dtsoftbus01.sys
%ProgramFiles(x86)%\daemon tools pro\dtsoftbusinst64.exe
%ProgramFiles(x86)%\daemon tools pro\dtshl32.dll
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\daemon tools pro\daemon tools image editor.lnk
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\daemon tools pro\uninstall.lnk

Удаляет следующие файлы

%ALLUSERSPROFILE%\daemon tools pro\dtsoftbus01.inf
%TEMP%\nsbc4f5.tmp\nsexec.dll
%TEMP%\nsbc4f5.tmp\nsis7z.dll
%TEMP%\nsbc4f5.tmp\system.dll
%TEMP%\7zipsfx.000\daemon.tools.pro.advanced.v5.0.0316.0317.exe
%TEMP%\7zipsfx.000\sptd\sptdinst-x64.exe
%TEMP%\7zipsfx.000\sptd\sptdinst-x86.exe

Изменяет следующие файлы

%LOCALAPPDATA%\microsoft\windows\explorer\explorerstartuplog_runonce.etl

Другое

Ищет следующие окна

ClassName: '#32770' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\7zipsfx.000\daemon.tools.pro.advanced.v5.0.0316.0317.exe' /S /EN
'%ProgramFiles(x86)%\daemon tools pro\dtshellhlp.exe'
'%WINDIR%\syswow64\rundll32.exe' setupapi.dll, InstallHinfSection DefaultInstall 132 .\dtsoftbus01.inf' (со скрытым окном)
'%WINDIR%\syswow64\regsvr32.exe' /s "%ProgramFiles(x86)%\Daemon Tools Pro\DTShl64.dll"' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\rundll32.exe' setupapi.dll, InstallHinfSection DefaultInstall 132 .\dtsoftbus01.inf
'%WINDIR%\syswow64\runonce.exe' -r
'%WINDIR%\syswow64\grpconv.exe' -o
'%WINDIR%\syswow64\regsvr32.exe' /s "%ProgramFiles(x86)%\Daemon Tools Pro\DTShl64.dll"
'<SYSTEM32>\regsvr32.exe' /s "%ProgramFiles(x86)%\Daemon Tools Pro\DTShl64.dll"