Trojan.Siggen21.26583

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKLM\SOFTWARE\CLASSES\MacromediaFlashPaper.MacromediaFlashPaper\shell\open\command] '' = '"%ProgramFiles(x86)%\Opera\Launcher.exe" -noautoupdate -- "%1"'

Создает или изменяет следующие файлы

Устанавливает следующие настройки сервисов

[HKLM\System\CurrentControlSet\Services\AdobeFlashPlayerUpdateSvc] 'ImagePath' = '%WINDIR%\SysWOW64\Macromed\Flash\FlashPlayerUpdateService.exe'

Создает следующие сервисы

'AdobeFlashPlayerUpdateSvc' %WINDIR%\SysWOW64\Macromed\Flash\FlashPlayerUpdateService.exe

Изменения в файловой системе

Создает следующие файлы

%WINDIR%\secuniapackage.log
%WINDIR%\installer\{15ae611f-5a40-4bd0-9291-1c6856bdb9a4}\arpproducticon.exe
%ALLUSERSPROFILE%\microsoft\crypto\rsa\s-1-5-18\d42cc0c3858a58db2db37658219e6400_d4602615-9d50-4880-be41-678935e93eaa
%WINDIR%\syswow64\macromed\flash\flashplayerupdateservice.exe
%WINDIR%\syswow64\macromed\flash\flashinstall.log
%WINDIR%\syswow64\flashplayerapp.exe
%WINDIR%\syswow64\flashplayercplapp.cpl
%WINDIR%\syswow64\macromed\flash\activex.vch
%WINDIR%\syswow64\macromed\flash\flashutil32_14_0_0_176_activex.dll
%WINDIR%\syswow64\macromed\flash\flashutil32_14_0_0_176_activex.exe
%WINDIR%\syswow64\macromed\flash\flash32_14_0_0_176.ocx
<SYSTEM32>\macromed\flash\flashinstall.log
%WINDIR%\syswow64\macromed\flash\mms.cfg
<SYSTEM32>\macromed\flash\activex.vch
<SYSTEM32>\macromed\flash\flashutil64_14_0_0_176_activex.exe
<SYSTEM32>\macromed\flash\flash64_14_0_0_176.ocx
%TEMP%\{d969d65d-9d2a-4951-9f03-1caf0eb35c92}\fpb.tmp
%TEMP%\{fe4db87e-51a1-417a-909a-fc826faeb43f}\fpb.tmp
%TEMP%\{36f02339-3a92-447a-9fa6-8778b466e318}\installflashplayer.exe
%TEMP%\{3bdb3dd0-5a86-4c3a-92b4-78b397bedcbb}\fpb.tmp
%TEMP%\{c3450f99-b9ea-4391-b786-6e49f5411d73}\fpb.tmp
%TEMP%\installax_14_0_0_176.exe
%TEMP%\msiff7d5.log
%TEMP%\13cbb5ab-7240-2a43-f42c-d216e89f500e\install_flash_player_14_active_x.msi
%TEMP%\0e1c0f03-ef6c-4091-9d1e-8a891e33f31f\adobeflashplayer_14.0.0.176_activex_sps.exe
<SYSTEM32>\macromed\flash\flashutil64_14_0_0_176_activex.dll
<SYSTEM32>\macromed\flash\mms.cfg

Удаляет следующие файлы

%TEMP%\{c3450f99-b9ea-4391-b786-6e49f5411d73}\fpb.tmp
%TEMP%\{fe4db87e-51a1-417a-909a-fc826faeb43f}\fpb.tmp
%TEMP%\{d969d65d-9d2a-4951-9f03-1caf0eb35c92}\fpb.tmp
%TEMP%\{36f02339-3a92-447a-9fa6-8778b466e318}\installflashplayer.exe
%TEMP%\{3bdb3dd0-5a86-4c3a-92b4-78b397bedcbb}\fpb.tmp
%TEMP%\installax_14_0_0_176.exe
%TEMP%\13cbb5ab-7240-2a43-f42c-d216e89f500e\install_flash_player_14_active_x.msi
%TEMP%\0e1c0f03-ef6c-4091-9d1e-8a891e33f31f\adobeflashplayer_14.0.0.176_activex_sps.exe

Сетевая активность

Подключается к

TCP

Запросы HTTP GET

UDP

Другое

Создает и запускает на исполнение

'%TEMP%\0e1c0f03-ef6c-4091-9d1e-8a891e33f31f\adobeflashplayer_14.0.0.176_activex_sps.exe' /S /cleaninstall /noupdate
'%TEMP%\installax_14_0_0_176.exe' -install -msi
'%TEMP%\{36f02339-3a92-447a-9fa6-8778b466e318}\installflashplayer.exe' -install -skipARPEntry -iv 2 -au 4294967295
'<SYSTEM32>\macromed\flash\flashutil64_14_0_0_176_activex.exe' -refreshIEElevationPolicies
'%WINDIR%\syswow64\macromed\flash\flashutil32_14_0_0_176_activex.exe' -refreshIEElevationPolicies
'%WINDIR%\syswow64\macromed\flash\flashplayerupdateservice.exe' -install
'<SYSTEM32>\cmd.exe' /c del "%TEMP%\{36F02339-3A92-447A-9FA6-8778B466E318}\InstallFlashPlayer.exe" >> NUL' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c del "%TEMP%\InstallAX_14_0_0_176.exe" >> NUL' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\msiexec.exe' /i "%TEMP%\13cbb5ab-7240-2a43-f42c-d216e89f500e\install_flash_player_14_active_x.msi" /qn /norestart
'<SYSTEM32>\cmd.exe' /c del "%TEMP%\{36F02339-3A92-447A-9FA6-8778B466E318}\InstallFlashPlayer.exe" >> NUL
'%WINDIR%\syswow64\cmd.exe' /c del "%TEMP%\InstallAX_14_0_0_176.exe" >> NUL