Trojan.Siggen31.36615

Техническая информация

Вредоносные функции

Запускает на исполнение

'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="VEGAS" dir=in action=Block program="%ProgramFiles%\VEGAS\VEGAS Pro 22.0\vegas220.exe" enable=yes
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="VEGAS" dir=out action=Block program="%ProgramFiles%\VEGAS\VEGAS Pro 22.0\vegas220.exe" enable=yes

Изменения в файловой системе

Создает следующие файлы

%TEMP%\aut1850.tmp
%WINDIR%\temp\temp_1\restfiles\vidbanner.mp4
%TEMP%\aut2b74.tmp
%WINDIR%\temp\temp_1\restfiles\patch.exe
%HOMEPATH%\desktop\vegas pro 22.0.lnk
%TEMP%\is-3tfg7.tmp\patch.tmp
%TEMP%\is-7u0t3.tmp\_isetup\_setup64.tmp
%TEMP%\is-7u0t3.tmp\_isetup\_iscrypt.dll
%ProgramFiles%\vegas\vegas pro 22.0\protein\is-sq8as.tmp
%ProgramFiles%\vegas\vegas pro 22.0\vegas220.exe.local\is-g1gu2.tmp
%TEMP%\is-7u0t3.tmp\is-rul58.tmp
%TEMP%\is-7u0t3.tmp\is-6rgdd.tmp

Присваивает атрибут 'скрытый' для следующих файлов

%ProgramFiles%\vegas\vegas pro 22.0\vegas220.exe.local\wintrust.dll

Удаляет следующие файлы

%TEMP%\aut1850.tmp
%TEMP%\aut2b74.tmp
%TEMP%\is-7u0t3.tmp\nircmd.cmd
%TEMP%\is-7u0t3.tmp\nircmd.exe
%TEMP%\is-7u0t3.tmp\_isetup\_iscrypt.dll
%TEMP%\is-7u0t3.tmp\_isetup\_setup64.tmp
%TEMP%\is-3tfg7.tmp\patch.tmp
%WINDIR%\temp\temp_1\restfiles\patch.exe
%WINDIR%\temp\temp_1\restfiles\vidbanner.mp4

Перемещает следующие файлы

%ProgramFiles%\vegas\vegas pro 22.0\protein\is-sq8as.tmp в %ProgramFiles%\vegas\vegas pro 22.0\protein\protein_x64.4.2.dll
%ProgramFiles%\vegas\vegas pro 22.0\vegas220.exe.local\is-g1gu2.tmp в %ProgramFiles%\vegas\vegas pro 22.0\vegas220.exe.local\wintrust.dll
%TEMP%\is-7u0t3.tmp\is-rul58.tmp в %TEMP%\is-7u0t3.tmp\nircmd.cmd
%TEMP%\is-7u0t3.tmp\is-6rgdd.tmp в %TEMP%\is-7u0t3.tmp\nircmd.exe

Другое

Ищет следующие окна

ClassName: 'WMPlayerApp' WindowName: ''

Создает и запускает на исполнение

'%WINDIR%\temp\temp_1\restfiles\patch.exe' /silent /norestart
'%TEMP%\is-3tfg7.tmp\patch.tmp' /SL5="$30250,4046882,1178624,%WINDIR%\Temp\Temp_1\restfiles\patch.exe" /silent /norestart
'%TEMP%\is-7u0t3.tmp\nircmd.exe' inisetval "%ALLUSERSPROFILE%\VEGAS\VEGAS_Pro_22\installation.ini" "Serial" "string" "P3-64979-27462-07906-32757-21318-38872"
'%TEMP%\is-7u0t3.tmp\nircmd.exe' inisetval "%ALLUSERSPROFILE%\VEGAS\VEGAS_Pro_22\installation.ini" "VersionUnlock" "NumberOfStarts" "0"
'%TEMP%\is-7u0t3.tmp\nircmd.exe' inisetval "%ALLUSERSPROFILE%\VEGAS\VEGAS_Pro_22\installation.ini" "VersionUnlock" "DontShowNagBox" "1"
'%TEMP%\is-7u0t3.tmp\nircmd.exe' inisetval "%ALLUSERSPROFILE%\VEGAS\VEGAS_Pro_22\installation.ini" "VersionUnlock" "IsRegisteredUser" "1"
'%TEMP%\is-7u0t3.tmp\nircmd.exe' inisetval "%ALLUSERSPROFILE%\VEGAS\VEGAS_Pro_22\installation.ini" "VersionUnlock" "UserEMail" "uBusHTShXjdIakxgck01PRO5nuh8YfF4BDS17GWS/So3BnxxO66uwQ3meU0PEMwM"
'%TEMP%\is-7u0t3.tmp\nircmd.exe' inisetval "%ALLUSERSPROFILE%\VEGAS\DVD_Architect_Pro_7\installation.ini" "Serial" "string" "P3-77020-98979-63411-51090-66867-08191"
'%TEMP%\is-7u0t3.tmp\nircmd.exe' inisetval "%ALLUSERSPROFILE%\VEGAS\DVD_Architect_Pro_7\installation.ini" "VersionUnlock" "NumberOfStarts" "0"
'%TEMP%\is-7u0t3.tmp\nircmd.exe' inisetval "%ALLUSERSPROFILE%\VEGAS\DVD_Architect_Pro_7\installation.ini" "VersionUnlock" "DontShowNagBox" "1"
'%TEMP%\is-7u0t3.tmp\nircmd.exe' inisetval "%ALLUSERSPROFILE%\VEGAS\DVD_Architect_Pro_7\installation.ini" "VersionUnlock" "IsRegisteredUser" "1"
'%TEMP%\is-7u0t3.tmp\nircmd.exe' inisetval "%ALLUSERSPROFILE%\VEGAS\DVD_Architect_Pro_7\installation.ini" "VersionUnlock" "UserEMail" "uBusHTShXjdIakxgck01PRO5nuh8YfF4BDS17GWS/So3BnxxO66uwQ3meU0PEMwM"

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /C ""%TEMP%\is-7U0T3.tmp\nircmd.cmd"" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C netsh advfirewall firewall add rule name="VEGAS" dir=in action=Block program="%ProgramFiles%\VEGAS\VEGAS Pro 22.0\vegas220.exe" enable=yes (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C netsh advfirewall firewall add rule name="VEGAS" dir=out action=Block program="%ProgramFiles%\VEGAS\VEGAS Pro 22.0\vegas220.exe" enable=yes (со скрытым окном)
'%WINDIR%\temp\temp_1\restfiles\patch.exe' /silent /norestart (со скрытым окном)