Trojan.Siggen32.58195

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKLM\Software\WOW6432Node\Microsoft\Windows\CurrentVersion\Run] 'sysTPL' = '%ProgramFiles(x86)%\sysTPL\sysTPL.exe'

Устанавливает следующие настройки сервисов

[HKLM\SYSTEM\CurrentControlSet\Services\sysTPLMonitor.exe] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\sysTPLMonitor.exe] 'ImagePath' = '"%ProgramFiles(x86)%\sysTPL\sysTPLMonitor.exe"'
[HKLM\SYSTEM\CurrentControlSet\Services\sysTPLService.exe] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\sysTPLService.exe] 'ImagePath' = '"%ProgramFiles(x86)%\sysTPL\sysTPLService.exe"'

Создает следующие сервисы

'sysTPLMonitor.exe' %ProgramFiles(x86)%\sysTPL\sysTPLMonitor.exe
'sysTPLService.exe' %ProgramFiles(x86)%\sysTPL\sysTPLService.exe

Вредоносные функции

Изменяет следующие настройки браузера Windows Internet Explorer

[\REGISTRY\USER\S-1-5-19\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyServer' = ''
[\REGISTRY\USER\S-1-5-20\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyServer' = ''
[HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyServer' = ''
[\REGISTRY\USER\S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyServer' = ''

Изменения в файловой системе

Создает следующие файлы

%TEMP%\is-kpniv.tmp\<Имя файла>.tmp
%TEMP%\setup log 2026-06-10 #001.txt
%TEMP%\is-ibg2j.tmp\_isetup\_setup64.tmp
%TEMP%\is-ibg2j.tmp\_isetup\_shfoldr.dll
%TEMP%\is-ibg2j.tmp\itdownload.dll
%TEMP%\is-ibg2j.tmp\isgetobj.dll
%TEMP%\is-ibg2j.tmp\isskin.dll
%TEMP%\is-ibg2j.tmp\metroui.cjstyles
%TEMP%\is-ibg2j.tmp\systpl.msi
%WINDIR%\temp\~df0d8e8eb7e9714585.tmp
%WINDIR%\installer\sourcehash{4b74bc31-b353-4b8f-8cbe-dab4ff326ff1}
%WINDIR%\temp\~df307a8c1a46000b89.tmp
%TEMP%\ai_resourcecleanerlog.txt
%WINDIR%\temp\~df28de5e8787047c0f.tmp
%WINDIR%\temp\~df452564cd9746ac77.tmp
%TEMP%\{b8d5b1ee-4727-4db4-b9db-e7db5d332e09}.bat
%TEMP%\aibb_2956.tmp
%ProgramFiles(x86)%\systpl\fiddlercore.dll
%ProgramFiles(x86)%\systpl\systplmonitor.exe
%ProgramFiles(x86)%\systpl\systplmonitor.exe.config
%ProgramFiles(x86)%\systpl\systplservice.exe
%ProgramFiles(x86)%\systpl\systplservice.exe.config
%ProgramFiles(x86)%\systpl\systpllauncher.exe
%ProgramFiles(x86)%\systpl\systpluninstall.exe
%ProgramFiles(x86)%\systpl\systplutil.dll
%ProgramFiles(x86)%\systpl\systpl.exe
%ProgramFiles(x86)%\systpl\systpl.exe.config
%ProgramFiles(x86)%\systpl\idudll.dll
%ProgramFiles(x86)%\systpl\systpllauncher.exe.config
%ProgramFiles(x86)%\systpl\systpluninstall.exe.config
%WINDIR%\installer\{4b74bc31-b353-4b8f-8cbe-dab4ff326ff1}\default.exe
%WINDIR%\temp\~df2dad98a55fb88a04.tmp
%WINDIR%\temp\~dfb057b3a9f65fe9f2.tmp
%WINDIR%\temp\~df16719290fb83ee23.tmp
%WINDIR%\temp\~df78d36d241fc6b81a.tmp
%APPDATA%\mozilla\firefox\profiles\dnyauhh1.default-release\prefs.tmp
%ProgramFiles(x86)%\systpl\proxy.dat
C:\$recycle.bin\s-1-5-18\desktop.ini
D:\$recycle.bin\s-1-5-18\desktop.ini
%WINDIR%\temp\~dfba7a4d242d1e17ed.tmp
%WINDIR%\temp\~dfbe6aba68184326f2.tmp
%WINDIR%\temp\~df4e1fce7cddb4414a.tmp
%WINDIR%\temp\~df2b905099d0612140.tmp

Подменяет следующие файлы

%APPDATA%\Mozilla\Firefox\Profiles\dnyauhh1.default-release\prefs.js

Сетевая активность

UDP

DNS ASK ap##.tlapia.com
DNS ASK se####x.tlapia.com

Другое

Создает и запускает на исполнение

'%TEMP%\is-kpniv.tmp\<Имя файла>.tmp' /SL5="$802C0,1676325,119808,<Полный путь к файлу>"
'%ProgramFiles(x86)%\systpl\systplmonitor.exe'
'%ProgramFiles(x86)%\systpl\systplservice.exe'
'%ProgramFiles(x86)%\systpl\systpl.exe'

Запускает на исполнение

'%WINDIR%\syswow64\msiexec.exe' /i "%TEMP%\is-IBG2J.tmp\sysTPL.msi" /quiet /norestart
'%WINDIR%\syswow64\cmd.exe' "%TEMP%\{B8D5B1EE-4727-4DB4-B9DB-E7DB5D332E09}.bat"