Trojan.Siggen31.12465

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\vgrupdatetaskmachinecore
<SYSTEM32>\tasks\vgrupdatetaskmachineua

Устанавливает следующие настройки сервисов

[HKLM\System\CurrentControlSet\Services\omaha] 'Start' = '00000002'
[HKLM\System\CurrentControlSet\Services\omaha] 'ImagePath' = '"%ProgramFiles(x86)%\VGR\Update\VGRUpdate.exe" /svc'

Создает следующие сервисы

'omaha' "%ProgramFiles(x86)%\VGR\Update\VGRUpdate.exe" /svc

Изменения в файловой системе

Создает следующие файлы

%ProgramFiles(x86)%\gut2349.tmp
%ProgramFiles(x86)%\vgr\update\1.5.5.5\vgrupdatebroker.exe
%ProgramFiles(x86)%\vgr\update\1.5.5.5\vgrupdateondemand.exe
%WINDIR%\temp\cabae87.tmp
%WINDIR%\temp\tarae88.tmp
%WINDIR%\temp\cabc62e.tmp
%WINDIR%\temp\tarc62f.tmp
%WINDIR%\temp\cabc6cc.tmp
%WINDIR%\temp\tarc6cd.tmp
%ProgramFiles(x86)%\gum2348.tmp\vgrupdatecore.exe
%WINDIR%\temp\cabdd2b.tmp
%WINDIR%\temp\cabdd6c.tmp
%WINDIR%\temp\tardd6d.tmp
%WINDIR%\temp\cabf3bb.tmp
%WINDIR%\temp\tarf3bc.tmp
%WINDIR%\temp\cab4cb7.tmp
%WINDIR%\temp\tar4cb8.tmp
%WINDIR%\temp\cab640f.tmp
%WINDIR%\temp\tar6410.tmp
%ProgramFiles(x86)%\vgr\update\vgrupdate.exe
%ProgramFiles(x86)%\vgr\update\1.5.5.5\vgrupdatesetup.exe
%ProgramFiles(x86)%\vgr\update\1.5.5.5\psmachine_64.dll
%ProgramFiles(x86)%\vgr\update\1.5.5.5\psmachine.dll
%ProgramFiles(x86)%\vgr\update\1.5.5.5\psuser_64.dll
%ProgramFiles(x86)%\gum2348.tmp\vgrdate.dll
%ProgramFiles(x86)%\gum2348.tmp\vgrupdatehelper.msi
%ProgramFiles(x86)%\gum2348.tmp\vgrupdatebroker.exe
%ProgramFiles(x86)%\gum2348.tmp\vgrupdateondemand.exe
%ProgramFiles(x86)%\gum2348.tmp\vgrupdatecomregistershell64.exe
%ProgramFiles(x86)%\gum2348.tmp\psmachine.dll
%ProgramFiles(x86)%\gum2348.tmp\psmachine_64.dll
%ProgramFiles(x86)%\gum2348.tmp\psuser.dll
%WINDIR%\temp\cab645f.tmp
%WINDIR%\temp\tardd2c.tmp
%ProgramFiles(x86)%\gum2348.tmp\psuser_64.dll
%ProgramFiles(x86)%\gum2348.tmp\vgrupdatesetup.exe
%ProgramFiles(x86)%\vgr\update\1.5.5.5\vgrupdate.exe
%ProgramFiles(x86)%\vgr\update\1.5.5.5\vgrdate.dll
%ProgramFiles(x86)%\vgr\update\1.5.5.5\vgrupdatecore.exe
%ProgramFiles(x86)%\vgr\update\1.5.5.5\vgrupdatecomregistershell64.exe
%ProgramFiles(x86)%\vgr\update\1.5.5.5\vgrdateres_en.dll
%ProgramFiles(x86)%\vgr\update\1.5.5.5\vgrupdatehelper.msi
%ProgramFiles(x86)%\vgr\update\1.5.5.5\psuser.dll
%ProgramFiles(x86)%\gum2348.tmp\vgrupdate.exe
%ProgramFiles(x86)%\gum2348.tmp\vgrdateres_en.dll
%WINDIR%\temp\tar6460.tmp

Удаляет следующие файлы

%WINDIR%\temp\cabae87.tmp
%WINDIR%\temp\tar6410.tmp
%WINDIR%\temp\cab640f.tmp
%WINDIR%\temp\tar4cb8.tmp
%WINDIR%\temp\cab4cb7.tmp
%WINDIR%\temp\tarf3bc.tmp
%WINDIR%\temp\cabf3bb.tmp
%WINDIR%\temp\tardd6d.tmp
%WINDIR%\temp\cabdd6c.tmp
%WINDIR%\temp\tardd2c.tmp
%WINDIR%\temp\cabdd2b.tmp
%WINDIR%\temp\tarc6cd.tmp
%WINDIR%\temp\cabc6cc.tmp
%WINDIR%\temp\tarc62f.tmp
%WINDIR%\temp\cabc62e.tmp
%WINDIR%\temp\tarae88.tmp
%WINDIR%\temp\cab645f.tmp
%WINDIR%\temp\tar6460.tmp

Сетевая активность

Подключается к

'ta########dateserver.branham.org':80
'ta##########teserver.blob.core.windows.net':443

TCP

Запросы HTTP POST

http://ta########dateserver.branham.org/service/update2?cu############################################################################################
http://ta########dateserver.branham.org/service/update2

Другие

'34.##9.100.209':443
'ta##########teserver.blob.core.windows.net':443

UDP

DNS ASK ta########dateserver.branham.org
DNS ASK ta##########teserver.blob.core.windows.net

Другое

Создает и запускает на исполнение

'%ProgramFiles(x86)%\gum2348.tmp\vgrupdate.exe' /installsource taggedmi /install "appguid={CAC54A92-513D-4F21-ABE4-290021DB5E01}&iid={9403FF05-2D8F-4389-B9E2-26E2EE9FA2D2}&appname=Table&needsadmin=true&lang=en&usagestats=1"
'%ProgramFiles(x86)%\vgr\update\vgrupdate.exe' /regsvc
'%ProgramFiles(x86)%\vgr\update\vgrupdate.exe' /regserver
'%ProgramFiles(x86)%\vgr\update\1.5.5.5\vgrupdatecomregistershell64.exe'
'%ProgramFiles(x86)%\vgr\update\vgrupdate.exe' /ping PD94bWwgdmVyc2lvbj0iMS4wIiBlbmNvZGluZz0iVVRGLTgiPz48cmVxdWVzdCBwcm90b2NvbD0iMy4wIiB2ZXJzaW9uPSIxLjUuNS41IiBzaGVsbF92ZXJzaW9uPSIxLjUuNS41IiBpc21hY2hpbmU9IjEiIHNlc3Npb25pZD0iezMwNUFGNjBELUJ...
'%ProgramFiles(x86)%\vgr\update\vgrupdate.exe' /handoff "appguid={CAC54A92-513D-4F21-ABE4-290021DB5E01}&iid={9403FF05-2D8F-4389-B9E2-26E2EE9FA2D2}&appname=Table&needsadmin=true&lang=en&usagestats=1" /installsource taggedmi /sessionid "{305A...