Trojan.Siggen22.30919

Техническая информация

Изменения в файловой системе

Создает следующие файлы

%TEMP%\is-vfgoo.tmp\<Имя файла>.tmp
%ProgramFiles(x86)%\tubmusify\uninstall\unins000.dat
%ProgramFiles(x86)%\tubmusify\is-n4ob1.tmp
%ProgramFiles(x86)%\tubmusify\styles\is-ajr1n.tmp
%ProgramFiles(x86)%\tubmusify\formats\is-qu1c3.tmp
%ProgramFiles(x86)%\tubmusify\formats\is-d5qgk.tmp
%ProgramFiles(x86)%\tubmusify\formats\is-n51e6.tmp
%ProgramFiles(x86)%\tubmusify\formats\is-21toi.tmp
%ProgramFiles(x86)%\tubmusify\formats\is-tk5u2.tmp
%ProgramFiles(x86)%\tubmusify\formats\is-lmplk.tmp
%ProgramFiles(x86)%\tubmusify\formats\is-5rp7p.tmp
%ProgramFiles(x86)%\tubmusify\formats\is-ce7a9.tmp
%ProgramFiles(x86)%\tubmusify\bearer\is-bshok.tmp
%ProgramFiles(x86)%\tubmusify\is-6jjp4.tmp
%ProgramFiles(x86)%\tubmusify\tubmusify.exe
%ProgramFiles(x86)%\tubmusify\is-hurh3.tmp
%ProgramFiles(x86)%\tubmusify\is-1o070.tmp
%ProgramFiles(x86)%\tubmusify\is-vjvtd.tmp
%ProgramFiles(x86)%\tubmusify\is-irhnb.tmp
%ProgramFiles(x86)%\tubmusify\is-79r3c.tmp
%ProgramFiles(x86)%\tubmusify\is-ubr8e.tmp
%ProgramFiles(x86)%\tubmusify\is-29b8m.tmp
%ProgramFiles(x86)%\tubmusify\is-apsrq.tmp
%ProgramFiles(x86)%\tubmusify\uninstall\is-fe479.tmp
%TEMP%\is-s9lg7.tmp\_isetup\_iscrypt.dll
%TEMP%\is-s9lg7.tmp\_isetup\_isdecmp.dll
%TEMP%\is-s9lg7.tmp\_isetup\_shfoldr.dll
%TEMP%\is-s9lg7.tmp\_isetup\_setup64.tmp
%TEMP%\is-s9lg7.tmp\_isetup\_regdll.tmp
%ProgramFiles(x86)%\tubmusify\is-gg8f4.tmp
%TEMP%\license.txt

Перемещает следующие файлы

%ProgramFiles(x86)%\tubmusify\uninstall\is-fe479.tmp в %ProgramFiles(x86)%\tubmusify\uninstall\unins000.exe
%ProgramFiles(x86)%\tubmusify\formats\is-qu1c3.tmp в %ProgramFiles(x86)%\tubmusify\formats\wav.json
%ProgramFiles(x86)%\tubmusify\formats\is-d5qgk.tmp в %ProgramFiles(x86)%\tubmusify\formats\ogg.json
%ProgramFiles(x86)%\tubmusify\formats\is-n51e6.tmp в %ProgramFiles(x86)%\tubmusify\formats\mp3.json
%ProgramFiles(x86)%\tubmusify\formats\is-21toi.tmp в %ProgramFiles(x86)%\tubmusify\formats\mka.json
%ProgramFiles(x86)%\tubmusify\formats\is-tk5u2.tmp в %ProgramFiles(x86)%\tubmusify\formats\m4a.json
%ProgramFiles(x86)%\tubmusify\formats\is-lmplk.tmp в %ProgramFiles(x86)%\tubmusify\formats\flac.json
%ProgramFiles(x86)%\tubmusify\formats\is-5rp7p.tmp в %ProgramFiles(x86)%\tubmusify\formats\aiff.json
%ProgramFiles(x86)%\tubmusify\formats\is-ce7a9.tmp в %ProgramFiles(x86)%\tubmusify\formats\aac.json
%ProgramFiles(x86)%\tubmusify\bearer\is-bshok.tmp в %ProgramFiles(x86)%\tubmusify\bearer\qgenericbearer.dll
%ProgramFiles(x86)%\tubmusify\is-6jjp4.tmp в %ProgramFiles(x86)%\tubmusify\zlib1.dll
%ProgramFiles(x86)%\tubmusify\is-hurh3.tmp в %ProgramFiles(x86)%\tubmusify\vcruntime140.dll
%ProgramFiles(x86)%\tubmusify\is-gg8f4.tmp в %ProgramFiles(x86)%\tubmusify\vcomp140.dll
%ProgramFiles(x86)%\tubmusify\is-1o070.tmp в %ProgramFiles(x86)%\tubmusify\ucrtbase.dll
%ProgramFiles(x86)%\tubmusify\is-vjvtd.tmp в %ProgramFiles(x86)%\tubmusify\spdlogcore.dll
%ProgramFiles(x86)%\tubmusify\is-irhnb.tmp в %ProgramFiles(x86)%\tubmusify\libwinpthread-1.dll
%ProgramFiles(x86)%\tubmusify\is-79r3c.tmp в %ProgramFiles(x86)%\tubmusify\libvorbisenc-2.dll
%ProgramFiles(x86)%\tubmusify\is-ubr8e.tmp в %ProgramFiles(x86)%\tubmusify\libvorbis-0.dll
%ProgramFiles(x86)%\tubmusify\is-29b8m.tmp в %ProgramFiles(x86)%\tubmusify\libssl-1_1.dll
%ProgramFiles(x86)%\tubmusify\is-apsrq.tmp в %ProgramFiles(x86)%\tubmusify\libogg-0.dll
%ProgramFiles(x86)%\tubmusify\styles\is-ajr1n.tmp в %ProgramFiles(x86)%\tubmusify\styles\qwindowsvistastyle.dll
%ProgramFiles(x86)%\tubmusify\is-n4ob1.tmp в %ProgramFiles(x86)%\tubmusify\tubmusify.exe

Сетевая активность

Подключается к

'mi####njobs.works':80

TCP

Запросы HTTP GET

http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab?43######

Запросы HTTP POST

http://mi####njobs.works/new/net_api

UDP

DNS ASK mi####njobs.works

Другое

Ищет следующие окна

ClassName: 'fab1b9_TMUS12081Class_fab1b9' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\is-vfgoo.tmp\<Имя файла>.tmp' /SL5="$D0176,4939302,54272,<Полный путь к файлу>"
'%ProgramFiles(x86)%\tubmusify\tubmusify.exe'
'%ProgramFiles(x86)%\tubmusify\tubmusify.exe' dee1f4103cbfff3c6715031939a78450

Запускает на исполнение