Trojan.Siggen31.36469

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

%APPDATA%\microsoft\windows\start menu\programs\startup\solarharmony.url
<SYSTEM32>\tasks\marilyn

Изменения в файловой системе

Создает следующие файлы

%TEMP%\$inst\2.tmp
%TEMP%\$inst\temp_0.tmp
%ProgramFiles(x86)%\iobit\iobit driver booster pro\driver_booster_setup.exe
%TEMP%\$inst\0001.tmp
%TEMP%\$inst\0002.tmp
%TEMP%\$inst\0003.tmp
%TEMP%\telescopejava.exe
%ProgramFiles(x86)%\iobit\iobit driver booster pro\uninstall.exe
%ProgramFiles(x86)%\iobit\iobit driver booster pro\uninstall.ini
%TEMP%\is-0iiht.tmp\driver_booster_setup.tmp
%TEMP%\setup log 2025-07-01 #001.txt
%TEMP%\is-rvjmp.tmp\_isetup\_setup64.tmp
%TEMP%\is-rvjmp.tmp\rdzone.dll
%TEMP%\is-rvjmp.tmp\inno_english.lng
%TEMP%\is-rvjmp.tmp\icon_1.bmp
%TEMP%\is-rvjmp.tmp\driverbooster.exe
%TEMP%\is-rvjmp.tmp\eula.rtf
%TEMP%\is-rvjmp.tmp-dbinst\eula.rtf
%TEMP%\is-rvjmp.tmp\libssl-1_1.dll
%TEMP%\is-rvjmp.tmp-dbinst\libssl-1_1.dll
%TEMP%\is-rvjmp.tmp\libcrypto-1_1.dll
%TEMP%\is-rvjmp.tmp-dbinst\libcrypto-1_1.dll
%TEMP%\is-rvjmp.tmp\dbinstaller.exe
%TEMP%\is-rvjmp.tmp-dbinst\setup.exe
%TEMP%\1751393662\vietnamese.lng
%TEMP%\1751393662\ukrainian.lng
%TEMP%\1751393662\turkish.lng
%TEMP%\1751393662\swedish.lng
%TEMP%\1751393662\spanish.lng
%TEMP%\1751393662\slovenian.lng
%TEMP%\1751393662\slovak.lng
%TEMP%\1751393662\serbianlatin.lng
%TEMP%\1751393662\serbiancyrillic.lng
%TEMP%\1751393662\russian.lng
%TEMP%\1751393662\romanian.lng
%TEMP%\1751393662\portugueseptbr.lng
%TEMP%\1751393662\norwegian.lng
%TEMP%\1751393662\korean.lng
%TEMP%\1751393662\japanese.lng
%TEMP%\1751393662\italian.lng
%TEMP%\1751393662\hebrew.lng
%TEMP%\1751393662\german.lng
%TEMP%\1751393662\georgian.lng
%TEMP%\1751393662\french.lng
%TEMP%\1751393662\finnish.lng
%TEMP%\1751393662\english.lng
%TEMP%\1751393662\dutch.lng
%TEMP%\1751393662\czech.lng
%TEMP%\1751393662\chinesetrad.lng
%TEMP%\1751393662\chinesesimp.lng
%TEMP%\1751393662\catalan.lng
%TEMP%\1751393662\persian.lng
%TEMP%\1751393662\arabic.lng
%TEMP%\1751393662\greek.lng
%TEMP%\1751393662\polish.lng
%TEMP%\1751393662\hungarian.lng
%TEMP%\1751393662\danish.lng
%TEMP%\1751393662\portugueseptpt.lng
%TEMP%\1751393662\malay.lng
%TEMP%\1751393662\indonesian.lng
%TEMP%\1751393662\latvian.lng
%ALLUSERSPROFILE%\pdinst.ini
%TEMP%\mambo.xlam
%TEMP%\accident.xlam
%TEMP%\installerupt45839.7599858796.zlb
%TEMP%\basename.xlam
%TEMP%\installerupt45839.7599946528.ini
%TEMP%\ultimately.xlam
%TEMP%\badge.xlam
%TEMP%\labour.xlam
%TEMP%\warned.xlam
%TEMP%\tions.xlam
%TEMP%\vacancies.xlam
%TEMP%\approved.xlam
%TEMP%\coating.xlam
%TEMP%\grab.xlam
%TEMP%\betty.xlam
%TEMP%\mambo.xlam.bat
%TEMP%\appver-ac.ini
%ALLUSERSPROFILE%\iobit\iobitpromotion.ini
%TEMP%\piece
%TEMP%\data
%TEMP%\cnet
%TEMP%\armstrong
%TEMP%\survivors
%TEMP%\mic
%TEMP%\encyclopedia
%TEMP%\brass
%TEMP%\sl
%TEMP%\preventing
%TEMP%\till
%TEMP%\320096\grain.com
%TEMP%\320096\f
%LOCALAPPDATA%\sunharmony innovations\a
%LOCALAPPDATA%\sunharmony innovations\solarharmony.com
%LOCALAPPDATA%\sunharmony innovations\solarharmony.js

Удаляет следующие файлы

%TEMP%\$inst\temp_0.tmp
%TEMP%\$inst\0001.tmp
%TEMP%\$inst\0002.tmp
%TEMP%\$inst\0003.tmp
%TEMP%\is-rvjmp.tmp\dbinstaller.exe
%TEMP%\is-rvjmp.tmp\driverbooster.exe
%TEMP%\is-rvjmp.tmp\eula.rtf
%TEMP%\is-rvjmp.tmp\icon_1.bmp
%TEMP%\is-rvjmp.tmp\inno_english.lng
%TEMP%\is-rvjmp.tmp\libcrypto-1_1.dll
%TEMP%\is-rvjmp.tmp\libssl-1_1.dll
%TEMP%\is-rvjmp.tmp\rdzone.dll
%TEMP%\is-rvjmp.tmp\_isetup\_setup64.tmp
%TEMP%\is-0iiht.tmp\driver_booster_setup.tmp
%TEMP%\320096\f

Сетевая активность

Подключается к

'up####.iobit.com':443
'st###.iobit.com':443

TCP

Другие

'up####.iobit.com':443
'st###.iobit.com':443

UDP

DNS ASK up####.iobit.com
DNS ASK st###.iobit.com
DNS ASK fi#########yOuYglpd.fidXbTolQqQyOuYglpd

Другое

Создает и запускает на исполнение

'%ProgramFiles(x86)%\iobit\iobit driver booster pro\driver_booster_setup.exe'
'%TEMP%\is-0iiht.tmp\driver_booster_setup.tmp' /SL5="$1028C,31118184,139264,%ProgramFiles(x86)%\IObit\IObit Driver Booster Pro\driver_booster_setup.exe"
'%TEMP%\is-rvjmp.tmp-dbinst\setup.exe' "%ProgramFiles(x86)%\IObit\IObit Driver Booster Pro\driver_booster_setup.exe" /title="Driver Booster 12" /dbver=12.4.0.571 /eula="%TEMP%\is-RVJMP.tmp-dbinst\EULA.rtf" /showlearnmore /pmtproduct...
'%TEMP%\telescopejava.exe'
'%TEMP%\320096\grain.com' f

Запускает на исполнение

'%WINDIR%\syswow64\wbem\wmic.exe' computersystem get model (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c copy Mambo.xlam Mambo.xlam.bat & Mambo.xlam.bat (со скрытым окном)
'%WINDIR%\syswow64\tasklist.exe'
'%WINDIR%\syswow64\findstr.exe' /I "opssvc wrsa"
'%WINDIR%\syswow64\findstr.exe' "bdservicehost SophosHealth AvastUI AVGUI nsWscSvc ekrn"
'%WINDIR%\syswow64\cmd.exe' /c md 320096
'%WINDIR%\syswow64\extrac32.exe' /Y /E Betty.xlam
'%WINDIR%\syswow64\findstr.exe' /V "lincoln" Piece
'%WINDIR%\syswow64\cmd.exe' /c copy /b 320096\Grain.com + Brass + Preventing + Data + Sl + Encyclopedia + Mic + Cnet + Survivors + Till + Armstrong 320096\Grain.com
'%WINDIR%\syswow64\cmd.exe' /c copy /b ..\Warned.xlam + ..\Tions.xlam + ..\Basename.xlam + ..\Labour.xlam + ..\Accident.xlam + ..\Grab.xlam + ..\Ultimately.xlam + ..\Vacancies.xlam + ..\Approved.xlam + ..\Coating.xlam + ....
'%WINDIR%\syswow64\cmd.exe' /c schtasks.exe /create /tn "Marilyn" /tr "wscript //B '%LOCALAPPDATA%\SunHarmony Innovations\SolarHarmony.js'" /sc minute /mo 5 /F
'%WINDIR%\syswow64\cmd.exe' /k echo [InternetShortcut] > "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\SolarHarmony.url" & echo URL="%LOCALAPPDATA%\SunHarmony Innovations\SolarHarmony.js" >> "%APPDATA%\Microsof...
'%WINDIR%\syswow64\schtasks.exe' /create /tn "Marilyn" /tr "wscript //B '%LOCALAPPDATA%\SunHarmony Innovations\SolarHarmony.js'" /sc minute /mo 5 /F
'%WINDIR%\syswow64\choice.exe' /d y /t 5