Trojan.Siggen23.3565

Техническая информация

Вредоносные функции

Запускает на исполнение

'%WINDIR%\syswow64\net.exe' stop UltraViewService
'%WINDIR%\syswow64\taskkill.exe' /f /im "UltraViewer_Desktop.exe"

Изменения в файловой системе

Создает следующие файлы

%TEMP%\tmp9c1a.tmp
%ProgramFiles(x86)%\ultraviewer\is-kijju.tmp
%ProgramFiles(x86)%\ultraviewer\is-i6lei.tmp
%ProgramFiles(x86)%\ultraviewer\is-7mm1h.tmp
%ProgramFiles(x86)%\ultraviewer\is-knr0c.tmp
%ProgramFiles(x86)%\ultraviewer\is-0dq30.tmp
%ProgramFiles(x86)%\ultraviewer\is-d925c.tmp
%ProgramFiles(x86)%\ultraviewer\is-qda7g.tmp
%ProgramFiles(x86)%\ultraviewer\is-6100i.tmp
%ProgramFiles(x86)%\ultraviewer\is-77kse.tmp
%ProgramFiles(x86)%\ultraviewer\is-5v2e8.tmp
%ProgramFiles(x86)%\ultraviewer\is-f6o44.tmp
%ProgramFiles(x86)%\ultraviewer\is-9qi7f.tmp
%ProgramFiles(x86)%\ultraviewer\is-t6igg.tmp
%ProgramFiles(x86)%\ultraviewer\is-ie4cf.tmp
%ProgramFiles(x86)%\ultraviewer\is-8i8rn.tmp
%TEMP%\is-66c5q.tmp\ccbundle.txt
%TEMP%\is-66c5q.tmp\uvuninstallhelper.exe.config
%TEMP%\is-66c5q.tmp\uvuninstallhelper.exe
%TEMP%\is-66c5q.tmp\isxdl.dll
%TEMP%\is-66c5q.tmp\idp.dll
%TEMP%\is-66c5q.tmp\_isetup\_setup64.tmp
%TEMP%\is-o5514.tmp\tmp9c1a.tmp
%ProgramFiles(x86)%\ultraviewer\is-aqnlv.tmp
%ProgramFiles(x86)%\ultraviewer\is-l2qva.tmp

Удаляет следующие файлы

%TEMP%\is-66c5q.tmp\ccbundle.txt

Перемещает следующие файлы

%ProgramFiles(x86)%\ultraviewer\is-8i8rn.tmp в %ProgramFiles(x86)%\ultraviewer\unins000.exe
%ProgramFiles(x86)%\ultraviewer\is-kijju.tmp в %ProgramFiles(x86)%\ultraviewer\uva.dll
%ProgramFiles(x86)%\ultraviewer\is-i6lei.tmp в %ProgramFiles(x86)%\ultraviewer\ultraviewer_service.exe.config
%ProgramFiles(x86)%\ultraviewer\is-7mm1h.tmp в %ProgramFiles(x86)%\ultraviewer\ultraviewer_service.exe
%ProgramFiles(x86)%\ultraviewer\is-knr0c.tmp в %ProgramFiles(x86)%\ultraviewer\ultraviewer_desktop.exe.config
%ProgramFiles(x86)%\ultraviewer\is-0dq30.tmp в %ProgramFiles(x86)%\ultraviewer\ultraviewer_desktop.exe
%ProgramFiles(x86)%\ultraviewer\is-d925c.tmp в %ProgramFiles(x86)%\ultraviewer\remotecontrol40.dll
%ProgramFiles(x86)%\ultraviewer\is-f6o44.tmp в %ProgramFiles(x86)%\ultraviewer\uva64.dll
%ProgramFiles(x86)%\ultraviewer\is-qda7g.tmp в %ProgramFiles(x86)%\ultraviewer\remotecontrol20.dll
%ProgramFiles(x86)%\ultraviewer\is-77kse.tmp в %ProgramFiles(x86)%\ultraviewer\msvbvm60.dll
%ProgramFiles(x86)%\ultraviewer\is-5v2e8.tmp в %ProgramFiles(x86)%\ultraviewer\htmlagilitypack.dll
%ProgramFiles(x86)%\ultraviewer\is-9qi7f.tmp в %ProgramFiles(x86)%\ultraviewer\emotion.fan
%ProgramFiles(x86)%\ultraviewer\is-aqnlv.tmp в %ProgramFiles(x86)%\ultraviewer\copyrights.txt
%ProgramFiles(x86)%\ultraviewer\is-t6igg.tmp в %ProgramFiles(x86)%\ultraviewer\closerdp.bat
%ProgramFiles(x86)%\ultraviewer\is-ie4cf.tmp в %ProgramFiles(x86)%\ultraviewer\8bit.dat
%ProgramFiles(x86)%\ultraviewer\is-6100i.tmp в %ProgramFiles(x86)%\ultraviewer\naudio.dll
%ProgramFiles(x86)%\ultraviewer\is-l2qva.tmp в %ProgramFiles(x86)%\ultraviewer\uvc.dll

Сетевая активность

Подключается к

'oc##.#ectigo.com':80
'cr#.#ectigo.com':80
'dl#.##traviewer.net':80

TCP

Запросы HTTP GET

http://oc##.#ectigo.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBQxgVcNvGEc6k3cMc%2F61dwEft%2FHpwQUz30soJB6mB3dtl6FwuDaFXHS5V4CEDYCYXY25wNLnMH8X%2F6sLVQ%3D
http://oc##.#ectigo.com/MFIwUDBOMEwwSjAJBgUrDgMCGgUABBShn%2B3G%2B%2BHantbiCIbVW5FlxR125wQUJQ2bbdgYd7eKwzhRVuXH8rX%2Fg2oCEQDxmDPqzdW1ElGv5%2F4pqKSd
http://cr#.#ectigo.com/SectigoPublicCodeSigningCAE36.crl
http://dl#.##traviewer.net/software_bundle.aspx?ve#######################################

UDP

DNS ASK oc##.#ectigo.com
DNS ASK cr#.#ectigo.com
DNS ASK dl#.##traviewer.net

Другое

Ищет следующие окна

ClassName: '' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\tmp9c1a.tmp' /SP- /donotlangovr=1 /verysilent /noicons /NORESTART /CloseApplications=no /netframework=""
'%TEMP%\is-o5514.tmp\tmp9c1a.tmp' /SL5="$B016E,3179892,121344,%TEMP%\tmp9C1A.tmp" /SP- /donotlangovr=1 /verysilent /noicons /NORESTART /CloseApplications=no /netframework=""
'%TEMP%\is-66c5q.tmp\uvuninstallhelper.exe'
'%WINDIR%\syswow64\net.exe' stop UltraViewService' (со скрытым окном)
'%WINDIR%\syswow64\sc.exe' delete UltraViewService' (со скрытым окном)
'%WINDIR%\syswow64\taskkill.exe' /f /im "UltraViewer_Desktop.exe"' (со скрытым окном)

Запускает на исполнение