Trojan.Siggen31.64267

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKLM\SOFTWARE\Classes\sc-addd8aca69e6869c\shell\open\command] '' = '"%ProgramFiles(x86)%\ScreenConnect Client (addd8aca69e6869c)\ScreenConnect.WindowsClient.exe" "%1"'

Устанавливает следующие настройки сервисов

[HKLM\SYSTEM\CurrentControlSet\Services\ScreenConnect Client (addd8aca69e6869c)] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\ScreenConnect Client (addd8aca69e6869c)] 'ImagePath' = '"%ProgramFiles(x86)%\ScreenConnect Client (addd8aca69e6869c)\ScreenConnect.ClientService.exe" "?e...

Создает следующие сервисы

'ScreenConnect Client (addd8aca69e6869c)' %ProgramFiles(x86)%\ScreenConnect Client (addd8aca69e6869c)\ScreenConnect.ClientService.exe" "?e=Access&y=Guest&h=trusts.ltd&p=8041&s=f1ed312c-9722-465d-8d8a-e5da353cc6a4&k=BgIAAACkAABSU0ExAAgA...

Изменения в файловой системе

Создает следующие файлы

%TEMP%\setup.msi
%LOCALAPPDATA%\microsoft\clr_v4.0_32\usagelogs\<Имя файла>.exe.log
%TEMP%\msi573a.tmp
%TEMP%\msi573a.tmp-\screenconnect.installeractions.dll
%TEMP%\msi573a.tmp-\microsoft.deployment.windowsinstaller.dll
%TEMP%\msi573a.tmp-\screenconnect.core.dll
%TEMP%\msi573a.tmp-\customaction.config
%LOCALAPPDATA%\microsoft\clr_v4.0_32\usagelogs\rundll32.exe.log
%WINDIR%\temp\~dfc0746402e6c8f6c1.tmp
%WINDIR%\installer\sourcehash{7d667e33-b732-4df4-84dc-82fbffa0ce14}
%WINDIR%\temp\~df3c8c7d089f59b162.tmp
%WINDIR%\temp\~dff5acecc3c6260e48.tmp
%WINDIR%\temp\~df17baa10c798a5eb5.tmp
%ProgramFiles(x86)%\screenconnect client (addd8aca69e6869c)\screenconnect.client.dll
%ProgramFiles(x86)%\screenconnect client (addd8aca69e6869c)\screenconnect.clientservice.dll
%ProgramFiles(x86)%\screenconnect client (addd8aca69e6869c)\screenconnect.core.dll
%ProgramFiles(x86)%\screenconnect client (addd8aca69e6869c)\screenconnect.windows.dll
%ProgramFiles(x86)%\screenconnect client (addd8aca69e6869c)\screenconnect.windowsclient.exe
%ProgramFiles(x86)%\screenconnect client (addd8aca69e6869c)\screenconnect.windowsclient.exe.config
%ProgramFiles(x86)%\screenconnect client (addd8aca69e6869c)\screenconnect.clientservice.exe
%ProgramFiles(x86)%\screenconnect client (addd8aca69e6869c)\app.config
%ProgramFiles(x86)%\screenconnect client (addd8aca69e6869c)\client.en-us.resources
%ProgramFiles(x86)%\screenconnect client (addd8aca69e6869c)\client.override.resources
%ProgramFiles(x86)%\screenconnect client (addd8aca69e6869c)\client.resources
%WINDIR%\installer\{7d667e33-b732-4df4-84dc-82fbffa0ce14}\defaulticon
%WINDIR%\temp\~dfb432e85db8700be9.tmp
%WINDIR%\temp\~dfbe59ebd43985f2f3.tmp
%WINDIR%\temp\~df1620eb3747be77bf.tmp
%WINDIR%\temp\~df9345c3ee285dca20.tmp
%WINDIR%\temp\~df64bebf3e80c42eb4.tmp
%WINDIR%\temp\~df146dfc40277f91f5.tmp
%WINDIR%\temp\~dfb19eb71df18cf061.tmp
%WINDIR%\temp\~dfdd31930633fc9564.tmp

Удаляет файлы, которые сам же создал

%TEMP%\msi573a.tmp-\customaction.config
%TEMP%\msi573a.tmp-\microsoft.deployment.windowsinstaller.dll
%TEMP%\msi573a.tmp-\screenconnect.core.dll
%TEMP%\msi573a.tmp-\screenconnect.installeractions.dll
%TEMP%\msi573a.tmp

Сетевая активность

Подключается к

'mo#####.map.fastly.net':443
'co##############e-chains.prod.autograph.services.mozaws.net':443
'tr##ts.ltd':8041

TCP

Другие

'tr##ts.ltd':8041

UDP

DNS ASK mo#####.map.fastly.net
DNS ASK co##############e-chains.prod.autograph.services.mozaws.net
DNS ASK tr##ts.ltd

Другое

Создает и запускает на исполнение

'%ProgramFiles(x86)%\screenconnect client (addd8aca69e6869c)\screenconnect.clientservice.exe' "?e=Access&y=Guest&h=trusts.ltd&p=8041&s=f1ed312c-9722-465d-8d8a-e5da353cc6a4&k=BgIAAACkAABSU0ExAAgAAAEAAQD9Byjp8ieeGi%2bI2%2fu2RHxbdVrjrGxIZm4F9gAlXd8JZQeNh4tfS7YTSS16G7edON%2fZyfjsy%2bhnh8Q7H...
'%ProgramFiles(x86)%\screenconnect client (addd8aca69e6869c)\screenconnect.windowsclient.exe' "RunRole" "2cd4fb35-cd02-473e-be95-6ac854312a97" "User"
'%ProgramFiles(x86)%\screenconnect client (addd8aca69e6869c)\screenconnect.windowsclient.exe' "RunRole" "e3110901-18a7-48b0-9db1-a3d854a77642" "System"

Запускает на исполнение

'%WINDIR%\syswow64\msiexec.exe' /i "%TEMP%\setup.msi"
'%WINDIR%\syswow64\rundll32.exe' "%TEMP%\MSI573A.tmp",zzzzInvokeManagedCustomActionOutOfProc SfxCA_1073312 1 ScreenConnect.InstallerActions!ScreenConnect.ClientInstallerActions.FixupServiceArguments