Trojan.Siggen29.53359

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKLM\Software\Classes\UPDFReader\shell\open\command] '' = '"%ProgramFiles(x86)%\PDF Unshare\updfreader.exe" "%1" %*'

Изменения в файловой системе

Создает следующие файлы

%TEMP%\aut41ef.tmp
%ProgramFiles(x86)%\pdf unshare\data\is-4jaml.tmp
%ProgramFiles(x86)%\pdf unshare\data\is-ghdcm.tmp
%ProgramFiles(x86)%\pdf unshare\data\is-umeh6.tmp
%ProgramFiles(x86)%\pdf unshare\data\is-fmumq.tmp
%ProgramFiles(x86)%\pdf unshare\data\is-5lbv6.tmp
%ProgramFiles(x86)%\pdf unshare\data\is-4d46e.tmp
%ProgramFiles(x86)%\pdf unshare\data\is-q7isq.tmp
%ProgramFiles(x86)%\pdf unshare\is-k1ubo.tmp
%ProgramFiles(x86)%\pdf unshare\data\is-vog81.tmp
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\pdf unshare\pdf unshare.lnk
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\pdf unshare\pdf unshare on the web.url
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\pdf unshare\uninstall pdf unshare.lnk
C:\users\public\desktop\pdf unshare.lnk
C:\users\public\desktop\updf reader.lnk
%APPDATA%\microsoft\internet explorer\quick launch\pdf unshare.lnk
%ProgramFiles(x86)%\pdf unshare\unins000.dat
%ProgramFiles(x86)%\pdf unshare\data\is-f6efp.tmp
%ProgramFiles(x86)%\pdf unshare\data\is-elr8t.tmp
%ProgramFiles(x86)%\pdf unshare\data\is-jchbd.tmp
%ProgramFiles(x86)%\pdf unshare\is-ngp30.tmp
%ALLUSERSPROFILE%\puverify\is-cgdli.tmp
%TEMP%\is-vh3dv.tmp\~wxeiqwv.tmp
%TEMP%\is-js4vr.tmp\_isetup\_setup64.tmp
%TEMP%\is-js4vr.tmp\_isetup\_shfoldr.dll
%TEMP%\is-js4vr.tmp\isxdl.dll
%ProgramFiles(x86)%\pdf unshare\is-ggi9t.tmp
%ProgramFiles(x86)%\pdf unshare\is-58mfh.tmp
%ProgramFiles(x86)%\pdf unshare\is-hmrbs.tmp
%TEMP%\aut566a.tmp
%ProgramFiles(x86)%\pdf unshare\data\is-ofe8c.tmp
%ProgramFiles(x86)%\pdf unshare\is-rhbqq.tmp
%ProgramFiles(x86)%\pdf unshare\is-obkvb.tmp
%ProgramFiles(x86)%\pdf unshare\is-tjqb7.tmp
%ProgramFiles(x86)%\pdf unshare\is-g1f8q.tmp
%ProgramFiles(x86)%\pdf unshare\is-58282.tmp
%TEMP%\is-js4vr.tmp\is-m7ssf.tmp
%APPDATA%\is-61krr.tmp
%APPDATA%\is-r8imu.tmp
%CommonProgramFiles(x86)%\~wxeiqwv.tmp
%ProgramFiles(x86)%\pdf unshare\is-tv3vk.tmp
%ProgramFiles(x86)%\pdf unshare\pdfunshare.exe

Присваивает атрибут 'скрытый' для следующих файлов

%CommonProgramFiles(x86)%\~wxeiqwv.tmp

Удаляет следующие файлы

%TEMP%\aut41ef.tmp
%TEMP%\is-js4vr.tmp\check1.txt
%TEMP%\is-js4vr.tmp\isxdl.dll
%TEMP%\is-js4vr.tmp\_isetup\_setup64.tmp
%TEMP%\is-js4vr.tmp\_isetup\_shfoldr.dll
%TEMP%\is-vh3dv.tmp\~wxeiqwv.tmp
%TEMP%\aut566a.tmp
%CommonProgramFiles(x86)%\~wxeiqwv.tmp

Перемещает следующие файлы

%ProgramFiles(x86)%\pdf unshare\is-ggi9t.tmp в %ProgramFiles(x86)%\pdf unshare\unins000.exe
%ProgramFiles(x86)%\pdf unshare\data\is-q7isq.tmp в %ProgramFiles(x86)%\pdf unshare\data\qpdf17.dll
%ProgramFiles(x86)%\pdf unshare\data\is-4d46e.tmp в %ProgramFiles(x86)%\pdf unshare\data\qpdf.exe
%ProgramFiles(x86)%\pdf unshare\data\is-5lbv6.tmp в %ProgramFiles(x86)%\pdf unshare\data\pdftoxpd.dll
%ProgramFiles(x86)%\pdf unshare\data\is-fmumq.tmp в %ProgramFiles(x86)%\pdf unshare\data\pdftk.exe
%ProgramFiles(x86)%\pdf unshare\data\is-umeh6.tmp в %ProgramFiles(x86)%\pdf unshare\data\libstdc++-6.dll
%ProgramFiles(x86)%\pdf unshare\data\is-ghdcm.tmp в %ProgramFiles(x86)%\pdf unshare\data\libgcc_s_dw2-1.dll
%ProgramFiles(x86)%\pdf unshare\data\is-4jaml.tmp в %ProgramFiles(x86)%\pdf unshare\data\gsdll32.lib
%ProgramFiles(x86)%\pdf unshare\data\is-elr8t.tmp в %ProgramFiles(x86)%\pdf unshare\data\gsdll32.dll
%ProgramFiles(x86)%\pdf unshare\data\is-f6efp.tmp в %ProgramFiles(x86)%\pdf unshare\data\gs.exe
%ProgramFiles(x86)%\pdf unshare\data\is-jchbd.tmp в %ProgramFiles(x86)%\pdf unshare\data\fix-qdf
%ProgramFiles(x86)%\pdf unshare\is-ngp30.tmp в %ProgramFiles(x86)%\pdf unshare\ionic.zip.dll
%ProgramFiles(x86)%\pdf unshare\data\is-vog81.tmp в %ProgramFiles(x86)%\pdf unshare\data\qpdf3.dll
%ALLUSERSPROFILE%\puverify\is-cgdli.tmp в %ALLUSERSPROFILE%\puverify\check1.txt
%APPDATA%\is-61krr.tmp в %APPDATA%\pusound.dll
%TEMP%\is-js4vr.tmp\is-m7ssf.tmp в %TEMP%\is-js4vr.tmp\check1.txt
%ProgramFiles(x86)%\pdf unshare\is-58282.tmp в %ProgramFiles(x86)%\pdf unshare\create.dat
%ProgramFiles(x86)%\pdf unshare\is-g1f8q.tmp в %ProgramFiles(x86)%\pdf unshare\updf.ico
%ProgramFiles(x86)%\pdf unshare\is-tjqb7.tmp в %ProgramFiles(x86)%\pdf unshare\updfreader.exe.config
%ProgramFiles(x86)%\pdf unshare\is-obkvb.tmp в %ProgramFiles(x86)%\pdf unshare\updfreader.exe
%ProgramFiles(x86)%\pdf unshare\is-tv3vk.tmp в %ProgramFiles(x86)%\pdf unshare\pdfunshare.exe.config
%ProgramFiles(x86)%\pdf unshare\is-k1ubo.tmp в %ProgramFiles(x86)%\pdf unshare\pdftoxpd.dll
%ProgramFiles(x86)%\pdf unshare\is-rhbqq.tmp в %ProgramFiles(x86)%\pdf unshare\itextsharp.dll
%ProgramFiles(x86)%\pdf unshare\is-hmrbs.tmp в %ProgramFiles(x86)%\pdf unshare\itextsharp.xtra.dll
%ProgramFiles(x86)%\pdf unshare\is-58mfh.tmp в %ProgramFiles(x86)%\pdf unshare\pdfunshare.exe
%APPDATA%\is-r8imu.tmp в %APPDATA%\pulan.ini
%ProgramFiles(x86)%\pdf unshare\data\is-ofe8c.tmp в %ProgramFiles(x86)%\pdf unshare\data\zlib-flate.exe

Другое

Создает и запускает на исполнение

'%CommonProgramFiles(x86)%\~wxeiqwv.tmp' /VERYSILENT /SUPPRESSMSGBOXES /NORESTART /SP-
'%TEMP%\is-vh3dv.tmp\~wxeiqwv.tmp' /SL5="$40240,14396966,498688,%CommonProgramFiles(x86)%\~wxeiqwv.tmp" /VERYSILENT /SUPPRESSMSGBOXES /NORESTART /SP-