Trojan.Siggen32.58313

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\applesoftwareupdateagent

Вредоносные функции

Патчит код

в динамической библиотеке AMSI

Процесс 000d8712.exe, модуль Amsi.dll

Изменения в файловой системе

Создает следующие файлы

%TEMP%\is-0jxd6yo9hs.tmp\<Имя файла>.tmp
%TEMP%\is-pt8kcbhf4b.tmp\_isetup\_setup64.tmp
%ALLUSERSPROFILE%\impulsezenith\is-lk5gnf60w7.tmp
%ALLUSERSPROFILE%\impulsezenith\is-hlyowb2bl5.tmp
%ALLUSERSPROFILE%\impulsezenith\lanternbridges\is-k0hqeoi6h7.tmp
%ALLUSERSPROFILE%\impulsezenith\calendarhorizon\is-zsmopo9tnd.tmp
%ALLUSERSPROFILE%\impulsezenith\frontierreactor\is-1r6vohu8ac.tmp
%ALLUSERSPROFILE%\impulsezenith\lanternbridges\is-t7w0mcd3t6.tmp
%ALLUSERSPROFILE%\impulsezenith\calendarhorizon\is-macypvpb18.tmp
%ALLUSERSPROFILE%\impulsezenith\frontierreactor\is-rw0vqazz7u.tmp
%ALLUSERSPROFILE%\impulsezenith\lanternbridges\is-ch7nmq4x46.tmp
%ALLUSERSPROFILE%\impulsezenith\calendarhorizon\is-26werok4wn.tmp
%ALLUSERSPROFILE%\impulsezenith\frontierreactor\is-30ym1vsopf.tmp
%ALLUSERSPROFILE%\impulsezenith\lanternbridges\is-k9fqbh6d0f.tmp
%ALLUSERSPROFILE%\impulsezenith\args.dat
%TEMP%\000d8136.xml
%ALLUSERSPROFILE%\impulsezenith\000d8712.exe
%APPDATA%\windcrryx\06-11-2026

Удаляет файлы, которые сам же создал

%TEMP%\is-pt8kcbhf4b.tmp\_isetup\_setup64.tmp
%TEMP%\is-0jxd6yo9hs.tmp\<Имя файла>.tmp
%TEMP%\000d8136.xml
%ALLUSERSPROFILE%\impulsezenith\000d8712.exe

Перемещает следующие файлы

%ALLUSERSPROFILE%\impulsezenith\is-lk5gnf60w7.tmp в %ALLUSERSPROFILE%\impulsezenith\sentinelwindmill.exe
%ALLUSERSPROFILE%\impulsezenith\is-hlyowb2bl5.tmp в %ALLUSERSPROFILE%\impulsezenith\velocitybridges.exe
%ALLUSERSPROFILE%\impulsezenith\lanternbridges\is-k0hqeoi6h7.tmp в %ALLUSERSPROFILE%\impulsezenith\lanternbridges\keystonelantern.wav
%ALLUSERSPROFILE%\impulsezenith\calendarhorizon\is-zsmopo9tnd.tmp в %ALLUSERSPROFILE%\impulsezenith\calendarhorizon\zenithreactor.wav
%ALLUSERSPROFILE%\impulsezenith\frontierreactor\is-1r6vohu8ac.tmp в %ALLUSERSPROFILE%\impulsezenith\frontierreactor\pavilionvelocity.wav
%ALLUSERSPROFILE%\impulsezenith\lanternbridges\is-t7w0mcd3t6.tmp в %ALLUSERSPROFILE%\impulsezenith\lanternbridges\thunderwindmill.wav
%ALLUSERSPROFILE%\impulsezenith\calendarhorizon\is-macypvpb18.tmp в %ALLUSERSPROFILE%\impulsezenith\calendarhorizon\neptunehorizon.wav
%ALLUSERSPROFILE%\impulsezenith\frontierreactor\is-rw0vqazz7u.tmp в %ALLUSERSPROFILE%\impulsezenith\frontierreactor\meridianbridges.wav
%ALLUSERSPROFILE%\impulsezenith\lanternbridges\is-ch7nmq4x46.tmp в %ALLUSERSPROFILE%\impulsezenith\lanternbridges\horizonlantern.wav
%ALLUSERSPROFILE%\impulsezenith\calendarhorizon\is-26werok4wn.tmp в %ALLUSERSPROFILE%\impulsezenith\calendarhorizon\impulsesentinel.wav
%ALLUSERSPROFILE%\impulsezenith\frontierreactor\is-30ym1vsopf.tmp в %ALLUSERSPROFILE%\impulsezenith\frontierreactor\jasminevelocity.wav
%ALLUSERSPROFILE%\impulsezenith\lanternbridges\is-k9fqbh6d0f.tmp в %ALLUSERSPROFILE%\impulsezenith\lanternbridges\meridianaccuracy.wav

Сетевая активность

Подключается к

'45.##.136.188':2202

UDP

DNS ASK ip##pi.com
DNS ASK fr###eoip.net
DNS ASK ap#.#pify.org

Другое

Создает и запускает на исполнение

'%TEMP%\is-0jxd6yo9hs.tmp\<Имя файла>.tmp' /SL5="$C01C2,2758048,893952,<Полный путь к файлу>"
'%ALLUSERSPROFILE%\impulsezenith\sentinelwindmill.exe' "%ALLUSERSPROFILE%\ImpulseZenith\VelocityBridges.exe" "%ALLUSERSPROFILE%\ImpulseZenith\LanternBridges\KeystoneLantern.wav" "%ALLUSERSPROFILE%\ImpulseZenith\CalendarHorizon\ZenithReactor.wav" "%...
'%ALLUSERSPROFILE%\impulsezenith\velocitybridges.exe' "%ALLUSERSPROFILE%\ImpulseZenith\LanternBridges\KeystoneLantern.wav" "%ALLUSERSPROFILE%\ImpulseZenith\CalendarHorizon\ZenithReactor.wav" "%ALLUSERSPROFILE%\ImpulseZenith\FrontierReactor\Pavilio...
'%ALLUSERSPROFILE%\impulsezenith\000d8712.exe'

Запускает на исполнение

'<SYSTEM32>\schtasks.exe' /create /tn "AppleSoftwareUpdateAgent" /xml "%TEMP%\000D8136.xml" /f (со скрытым окном)
'%ALLUSERSPROFILE%\impulsezenith\sentinelwindmill.exe' "%ALLUSERSPROFILE%\ImpulseZenith\VelocityBridges.exe" "%ALLUSERSPROFILE%\ImpulseZenith\LanternBridges\KeystoneLantern.wav" "%ALLUSERSPROFILE%\ImpulseZenith\CalendarHorizon\ZenithReactor.wav" "%... (со скрытым окном)