Trojan.Siggen32.43236

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\applesoftwareupdateagent

Вредоносные функции

Патчит код

в динамической библиотеке AMSI

Процесс 000e9566.exe, модуль Amsi.dll

Изменения в файловой системе

Создает следующие файлы

%TEMP%\is-ir6rajwjmj.tmp\<Имя файла>.tmp
%TEMP%\is-flvwlftnkm.tmp\_isetup\_setup64.tmp
%ALLUSERSPROFILE%\eclipsemeridian\is-s01otk9g1z.tmp
%ALLUSERSPROFILE%\eclipsemeridian\is-h8rwub5tmk.tmp
%ALLUSERSPROFILE%\eclipsemeridian\velocitykeystone\is-ik1ntwxoza.tmp
%ALLUSERSPROFILE%\eclipsemeridian\quantummeridian\is-hpkkusb8ju.tmp
%ALLUSERSPROFILE%\eclipsemeridian\dolphinspavilion\is-d11t3uhiql.tmp
%ALLUSERSPROFILE%\eclipsemeridian\velocitykeystone\is-hvqkmpeokf.tmp
%ALLUSERSPROFILE%\eclipsemeridian\quantummeridian\is-iebmjgjfeu.tmp
%ALLUSERSPROFILE%\eclipsemeridian\dolphinspavilion\is-3sxwtag8fd.tmp
%ALLUSERSPROFILE%\eclipsemeridian\velocitykeystone\is-wsojzc677i.tmp
%ALLUSERSPROFILE%\eclipsemeridian\quantummeridian\is-u2vzgb5mpa.tmp
%ALLUSERSPROFILE%\eclipsemeridian\dolphinspavilion\is-yjjnxa9dxh.tmp
%ALLUSERSPROFILE%\eclipsemeridian\velocitykeystone\is-hqww6k2qgv.tmp
%TEMP%\cfg912f.tmp
%ALLUSERSPROFILE%\eclipsemeridian\args.dat
%TEMP%\000e913f.xml
%ALLUSERSPROFILE%\eclipsemeridian\000e9566.exe
%APPDATA%\windcrryx\05-20-2026

Удаляет файлы, которые сам же создал

%TEMP%\is-flvwlftnkm.tmp\_isetup\_setup64.tmp
%TEMP%\cfg912f.tmp
%TEMP%\is-ir6rajwjmj.tmp\<Имя файла>.tmp
%TEMP%\000e913f.xml
%ALLUSERSPROFILE%\eclipsemeridian\000e9566.exe

Перемещает следующие файлы

%ALLUSERSPROFILE%\eclipsemeridian\is-s01otk9g1z.tmp в %ALLUSERSPROFILE%\eclipsemeridian\eclipsethunder.exe
%ALLUSERSPROFILE%\eclipsemeridian\is-h8rwub5tmk.tmp в %ALLUSERSPROFILE%\eclipsemeridian\thunderaccuracy.exe
%ALLUSERSPROFILE%\eclipsemeridian\velocitykeystone\is-ik1ntwxoza.tmp в %ALLUSERSPROFILE%\eclipsemeridian\velocitykeystone\windmillkeystone.wav
%ALLUSERSPROFILE%\eclipsemeridian\quantummeridian\is-hpkkusb8ju.tmp в %ALLUSERSPROFILE%\eclipsemeridian\quantummeridian\accuracyeclipse.wav
%ALLUSERSPROFILE%\eclipsemeridian\dolphinspavilion\is-d11t3uhiql.tmp в %ALLUSERSPROFILE%\eclipsemeridian\dolphinspavilion\octagonwindmill.wav
%ALLUSERSPROFILE%\eclipsemeridian\velocitykeystone\is-hvqkmpeokf.tmp в %ALLUSERSPROFILE%\eclipsemeridian\velocitykeystone\pavilionmeridian.wav
%ALLUSERSPROFILE%\eclipsemeridian\quantummeridian\is-iebmjgjfeu.tmp в %ALLUSERSPROFILE%\eclipsemeridian\quantummeridian\jasminebridges.wav
%ALLUSERSPROFILE%\eclipsemeridian\dolphinspavilion\is-3sxwtag8fd.tmp в %ALLUSERSPROFILE%\eclipsemeridian\dolphinspavilion\unicornmeridian.wav
%ALLUSERSPROFILE%\eclipsemeridian\velocitykeystone\is-wsojzc677i.tmp в %ALLUSERSPROFILE%\eclipsemeridian\velocitykeystone\meridianjasmine.wav
%ALLUSERSPROFILE%\eclipsemeridian\quantummeridian\is-u2vzgb5mpa.tmp в %ALLUSERSPROFILE%\eclipsemeridian\quantummeridian\granitesentinel.wav
%ALLUSERSPROFILE%\eclipsemeridian\dolphinspavilion\is-yjjnxa9dxh.tmp в %ALLUSERSPROFILE%\eclipsemeridian\dolphinspavilion\eclipseoctagon.wav
%ALLUSERSPROFILE%\eclipsemeridian\velocitykeystone\is-hqww6k2qgv.tmp в %ALLUSERSPROFILE%\eclipsemeridian\velocitykeystone\zenithoctagon.wav

Сетевая активность

Подключается к

'ip##pi.com':80
'45.##.136.188':2202

TCP

Запросы HTTP GET

http://ip##pi.com/json/

Другие

'45.##.136.188':2202

UDP

DNS ASK ip##pi.com

Другое

Создает и запускает на исполнение

'%TEMP%\is-ir6rajwjmj.tmp\<Имя файла>.tmp' /SL5="$C02EC,2396787,893952,<Полный путь к файлу>"
'%ALLUSERSPROFILE%\eclipsemeridian\eclipsethunder.exe' "%ALLUSERSPROFILE%\EclipseMeridian\ThunderAccuracy.exe" "%ALLUSERSPROFILE%\EclipseMeridian\VelocityKeystone\WindmillKeystone.wav" "%ALLUSERSPROFILE%\EclipseMeridian\QuantumMeridian\AccuracyEcli...
'%ALLUSERSPROFILE%\eclipsemeridian\thunderaccuracy.exe' "%ALLUSERSPROFILE%\EclipseMeridian\VelocityKeystone\WindmillKeystone.wav" "%ALLUSERSPROFILE%\EclipseMeridian\QuantumMeridian\AccuracyEclipse.wav" "%ALLUSERSPROFILE%\EclipseMeridian\DolphinsPavi...
'%ALLUSERSPROFILE%\eclipsemeridian\000e9566.exe'

Запускает на исполнение

'<SYSTEM32>\schtasks.exe' /create /tn "AppleSoftwareUpdateAgent" /xml "%TEMP%\000E913F.xml" /f (со скрытым окном)
'%ALLUSERSPROFILE%\eclipsemeridian\eclipsethunder.exe' "%ALLUSERSPROFILE%\EclipseMeridian\ThunderAccuracy.exe" "%ALLUSERSPROFILE%\EclipseMeridian\VelocityKeystone\WindmillKeystone.wav" "%ALLUSERSPROFILE%\EclipseMeridian\QuantumMeridian\AccuracyEcli... (со скрытым окном)