Trojan.Siggen24.38011

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[HKLM\System\CurrentControlSet\Services\cpuz138] 'ImagePath' = '%TEMP%\cpuz138\cpuz138_x64.sys'
[HKLM\System\CurrentControlSet\Services\speccy] 'ImagePath' = '%TEMP%\963bc2bb-d2f2-47e2-957e-f6d1390cd531'

Создает следующие сервисы

'cpuz138' %TEMP%\\cpuz138\cpuz138_x64.sys
'cpuz138' %TEMP%\cpuz138\cpuz138_x64.sys
'speccy' %TEMP%\963bc2bb-d2f2-47e2-957e-f6d1390cd531

Изменения в файловой системе

Создает следующие файлы

%TEMP%\7zipsfx.000\s7.exe
%TEMP%\7zipsfx.000\speccy.exe
%TEMP%\7zipsfx.000\lang\lang-1052.dll
%TEMP%\7zipsfx.000\lang\lang-2052.dll
%TEMP%\2600t9uq.cmd
%TEMP%\speccycpuid.dll
%TEMP%\cpuz138\cpuz138_x64.sys
%TEMP%\963bc2bb-d2f2-47e2-957e-f6d1390cd531
%WINDIR%\temp\udd1f55.tmp

Присваивает атрибут 'скрытый' для следующих файлов

%TEMP%\2600t9uq.cmd

Удаляет следующие файлы

%TEMP%\2600t9uq.cmd
%TEMP%\cpuz138\cpuz138_x64.sys
%WINDIR%\temp\udd1f55.tmp
%TEMP%\963bc2bb-d2f2-47e2-957e-f6d1390cd531

Сетевая активность

Подключается к

'sp####.piriform.com':80

TCP

Запросы HTTP GET

http://sp####.piriform.com/ip/

UDP

DNS ASK sp####.piriform.com

Другое

Создает и запускает на исполнение

'%TEMP%\7zipsfx.000\s7.exe'
'%TEMP%\7zipsfx.000\speccy.exe'
'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\2600T9UQ.cmd" "%TEMP%\7ZipSfx.000\s7.exe" "' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\2600T9UQ.cmd" "%TEMP%\7ZipSfx.000\s7.exe" "
'%WINDIR%\syswow64\reg.exe' add "HKU\S-1-5-21-689858189-2315364970-3783712516-1000\Software\Piriform\Speccy" /f /v "DontConfirmPublish" /t REG_DWORD /d 0
'%WINDIR%\syswow64\reg.exe' add "HKU\S-1-5-21-689858189-2315364970-3783712516-1000\Software\Piriform\Speccy" /f /v "NewVersion" /t REG_SZ /d ""
'%WINDIR%\syswow64\reg.exe' add "HKU\S-1-5-21-689858189-2315364970-3783712516-1000\Software\Piriform\Speccy" /f /v "SilentInstall" /t REG_DWORD /d 0
'%WINDIR%\syswow64\reg.exe' add "HKU\S-1-5-21-689858189-2315364970-3783712516-1000\Software\Piriform\Speccy" /f /v "HideNavPane" /t REG_DWORD /d 0
'%WINDIR%\syswow64\reg.exe' add "HKU\S-1-5-21-689858189-2315364970-3783712516-1000\Software\Piriform\Speccy" /f /v "NeedUpdate" /t REG_DWORD /d 0
'%WINDIR%\syswow64\reg.exe' add "HKU\S-1-5-21-689858189-2315364970-3783712516-1000\Software\Piriform\Speccy" /f /v "TemperatureUnits" /t REG_DWORD /d 0
'%WINDIR%\syswow64\reg.exe' add "HKU\S-1-5-21-689858189-2315364970-3783712516-1000\Software\Piriform\Speccy" /f /v "Language" /t REG_SZ /d "2052"
'%WINDIR%\syswow64\reg.exe' add "HKU\S-1-5-21-689858189-2315364970-3783712516-1000\Software\Piriform\Speccy" /f /v "TrayRefreshTime" /t REG_DWORD /d 1
'%WINDIR%\syswow64\reg.exe' add "HKU\S-1-5-21-689858189-2315364970-3783712516-1000\Software\Piriform\Speccy" /f /v "SensorName" /t REG_SZ /d ""
'%WINDIR%\syswow64\reg.exe' add "HKU\S-1-5-21-689858189-2315364970-3783712516-1000\Software\Piriform\Speccy" /f /v "MetricsInTray" /t REG_DWORD /d 0
'%WINDIR%\syswow64\reg.exe' add "HKU\S-1-5-21-689858189-2315364970-3783712516-1000\Software\Piriform\Speccy" /f /v "MetricsInTooltip" /t REG_DWORD /d 0
'%WINDIR%\syswow64\reg.exe' add "HKU\S-1-5-21-689858189-2315364970-3783712516-1000\Software\Piriform\Speccy" /f /v "MinimizeToTray" /t REG_DWORD /d 0
'%WINDIR%\syswow64\reg.exe' add "HKU\S-1-5-21-689858189-2315364970-3783712516-1000\Software\Piriform\Speccy" /f /v "window_max" /t REG_DWORD /d 1
'%WINDIR%\syswow64\reg.exe' add "HKU\S-1-5-21-689858189-2315364970-3783712516-1000\Software\Piriform\Speccy" /f /v "window_height" /t REG_DWORD /d 532
'%WINDIR%\syswow64\reg.exe' add "HKU\S-1-5-21-689858189-2315364970-3783712516-1000\Software\Piriform\Speccy" /f /v "window_width" /t REG_DWORD /d 674
'%WINDIR%\syswow64\reg.exe' add "HKU\S-1-5-21-689858189-2315364970-3783712516-1000\Software\Piriform\Speccy" /f /v "window_top" /t REG_DWORD /d 235
'%WINDIR%\syswow64\reg.exe' add "HKU\S-1-5-21-689858189-2315364970-3783712516-1000\Software\Piriform\Speccy" /f /v "window_left" /t REG_DWORD /d 503
'%ProgramFiles%\java\jre1.8.0_45\bin\java.exe' -version
'%WINDIR%\syswow64\secedit.exe' /export /cfg "%TEMP%\spc_se.txt" /quiet /areas SECURITYPOLICY