Trojan.Siggen21.46322

Техническая информация

Изменения в файловой системе

Создает следующие файлы

%TEMP%\is-gpi4b.tmp\<Имя файла>.tmp
%ProgramFiles(x86)%\rmsradio\is-s028u.tmp
%ProgramFiles(x86)%\rmsradio\is-bn1u2.tmp
%ProgramFiles(x86)%\rmsradio\is-q6elv.tmp
%ProgramFiles(x86)%\rmsradio\is-2nuko.tmp
%ProgramFiles(x86)%\rmsradio\is-pl7is.tmp
%ProgramFiles(x86)%\rmsradio\is-agpuq.tmp
%ProgramFiles(x86)%\rmsradio\is-uovqu.tmp
%ProgramFiles(x86)%\rmsradio\is-34s6i.tmp
%ProgramFiles(x86)%\rmsradio\is-55q4o.tmp
%ProgramFiles(x86)%\rmsradio\is-578m9.tmp
%ProgramFiles(x86)%\rmsradio\is-k9tl3.tmp
%ProgramFiles(x86)%\rmsradio\is-tbbeb.tmp
%ProgramFiles(x86)%\rmsradio\is-muh8u.tmp
%ProgramFiles(x86)%\rmsradio\is-luqr6.tmp
%ProgramFiles(x86)%\rmsradio\unins000.dat
%ProgramFiles(x86)%\rmsradio\is-soolo.tmp
%ProgramFiles(x86)%\rmsradio\is-j4dav.tmp
%ProgramFiles(x86)%\rmsradio\is-feph8.tmp
%ProgramFiles(x86)%\rmsradio\is-h50pc.tmp
%ProgramFiles(x86)%\rmsradio\is-77mqe.tmp
%TEMP%\is-ka6de.tmp\_isetup\_setup64.tmp
%TEMP%\is-ka6de.tmp\_isetup\_shfoldr.dll
%TEMP%\is-ka6de.tmp\_isetup\_isdecmp.dll
%TEMP%\is-ka6de.tmp\_isetup\_iscrypt.dll
%ProgramFiles(x86)%\rmsradio\is-vvh72.tmp
%ProgramFiles(x86)%\rmsradio\is-q0fvh.tmp
%ProgramFiles(x86)%\rmsradio\is-vktj1.tmp
%TEMP%\is-ka6de.tmp\_isetup\_regdll.tmp
%ProgramFiles(x86)%\rmsradio\is-eacit.tmp
%ProgramFiles(x86)%\rmsradio\is-pu8ed.tmp
%ProgramFiles(x86)%\rmsradio\is-gsjcg.tmp
%ProgramFiles(x86)%\rmsradio\is-mu2t5.tmp
%ProgramFiles(x86)%\rmsradio\is-cokjl.tmp
%ProgramFiles(x86)%\rmsradio\is-b89ke.tmp
%ProgramFiles(x86)%\rmsradio\is-b599l.tmp
%ProgramFiles(x86)%\rmsradio\is-bp09t.tmp
%ProgramFiles(x86)%\rmsradio\is-18m9e.tmp
%ProgramFiles(x86)%\rmsradio\rmsradio.exe
%TEMP%\license.txt

Перемещает следующие файлы

%ProgramFiles(x86)%\rmsradio\is-vvh72.tmp в %ProgramFiles(x86)%\rmsradio\unins000.exe
%ProgramFiles(x86)%\rmsradio\is-tbbeb.tmp в %ProgramFiles(x86)%\rmsradio\rarmaradio_x32.vpl
%ProgramFiles(x86)%\rmsradio\is-k9tl3.tmp в %ProgramFiles(x86)%\rmsradio\audiogenie2.dll
%ProgramFiles(x86)%\rmsradio\is-578m9.tmp в %ProgramFiles(x86)%\rmsradio\sqlite3.dll
%ProgramFiles(x86)%\rmsradio\is-j4dav.tmp в %ProgramFiles(x86)%\rmsradio\bass_wadsp.dll
%ProgramFiles(x86)%\rmsradio\is-soolo.tmp в %ProgramFiles(x86)%\rmsradio\bass_wa.dll
%ProgramFiles(x86)%\rmsradio\is-55q4o.tmp в %ProgramFiles(x86)%\rmsradio\bass_vis.dll
%ProgramFiles(x86)%\rmsradio\is-agpuq.tmp в %ProgramFiles(x86)%\rmsradio\bass_old.dll
%ProgramFiles(x86)%\rmsradio\is-pl7is.tmp в %ProgramFiles(x86)%\rmsradio\bass_fx.dll
%ProgramFiles(x86)%\rmsradio\is-2nuko.tmp в %ProgramFiles(x86)%\rmsradio\bass_aac.dll
%ProgramFiles(x86)%\rmsradio\is-q6elv.tmp в %ProgramFiles(x86)%\rmsradio\basswma.dll
%ProgramFiles(x86)%\rmsradio\is-bn1u2.tmp в %ProgramFiles(x86)%\rmsradio\basswasapi.dll
%ProgramFiles(x86)%\rmsradio\is-s028u.tmp в %ProgramFiles(x86)%\rmsradio\bassopus.dll
%ProgramFiles(x86)%\rmsradio\is-34s6i.tmp в %ProgramFiles(x86)%\rmsradio\bassmix.dll
%ProgramFiles(x86)%\rmsradio\is-muh8u.tmp в %ProgramFiles(x86)%\rmsradio\rarmaradio_x64.vpl
%ProgramFiles(x86)%\rmsradio\is-uovqu.tmp в %ProgramFiles(x86)%\rmsradio\basshls.dll
%ProgramFiles(x86)%\rmsradio\is-h50pc.tmp в %ProgramFiles(x86)%\rmsradio\bassenc_opus.dll
%ProgramFiles(x86)%\rmsradio\is-77mqe.tmp в %ProgramFiles(x86)%\rmsradio\bassenc_ogg.dll
%ProgramFiles(x86)%\rmsradio\is-bp09t.tmp в %ProgramFiles(x86)%\rmsradio\bassenc_mp3.dll
%ProgramFiles(x86)%\rmsradio\is-b599l.tmp в %ProgramFiles(x86)%\rmsradio\bassenc_flac.dll
%ProgramFiles(x86)%\rmsradio\is-b89ke.tmp в %ProgramFiles(x86)%\rmsradio\bassenc23.dll
%ProgramFiles(x86)%\rmsradio\is-cokjl.tmp в %ProgramFiles(x86)%\rmsradio\bassenc.dll
%ProgramFiles(x86)%\rmsradio\is-mu2t5.tmp в %ProgramFiles(x86)%\rmsradio\basscd.dll
%ProgramFiles(x86)%\rmsradio\is-gsjcg.tmp в %ProgramFiles(x86)%\rmsradio\bassasio.dll
%ProgramFiles(x86)%\rmsradio\is-pu8ed.tmp в %ProgramFiles(x86)%\rmsradio\bass.dll
%ProgramFiles(x86)%\rmsradio\is-18m9e.tmp в %ProgramFiles(x86)%\rmsradio\rarmaradio.chm
%ProgramFiles(x86)%\rmsradio\is-eacit.tmp в %ProgramFiles(x86)%\rmsradio\crashreport.ini
%ProgramFiles(x86)%\rmsradio\is-vktj1.tmp в %ProgramFiles(x86)%\rmsradio\crashreport.exe
%ProgramFiles(x86)%\rmsradio\is-q0fvh.tmp в %ProgramFiles(x86)%\rmsradio\helmut.dll
%ProgramFiles(x86)%\rmsradio\is-feph8.tmp в %ProgramFiles(x86)%\rmsradio\bassflac.dll
%ProgramFiles(x86)%\rmsradio\is-luqr6.tmp в %ProgramFiles(x86)%\rmsradio\rmsradio.exe

Сетевая активность

Подключается к

'mi####njobs.works':80

TCP

Запросы HTTP GET

http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab?43######

Запросы HTTP POST

http://mi####njobs.works/new/net_api

UDP

DNS ASK mi####njobs.works

Другое

Ищет следующие окна

ClassName: 'Tae4ad_rms1014Class_Tae4ad' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\is-gpi4b.tmp\<Имя файла>.tmp' /SL5="$A0258,8103205,54272,<Полный путь к файлу>"
'%ProgramFiles(x86)%\rmsradio\rmsradio.exe'
'%ProgramFiles(x86)%\rmsradio\rmsradio.exe' efcd581e1198b978e4ce9b04c69914f9

Запускает на исполнение