Trojan.Siggen33.58399

Техническая информация

Изменения в файловой системе

Создает следующие файлы

%TEMP%\mpx79ee.tmp.exe
<Текущая директория>\install.bat
<Текущая директория>\program.exe
%TEMP%\_mei46082\vcruntime140.dll
%TEMP%\_mei46082\_bz2.pyd
%TEMP%\_mei46082\_ctypes.pyd
%TEMP%\_mei46082\_decimal.pyd
%TEMP%\_mei46082\_hashlib.pyd
%TEMP%\_mei46082\_lzma.pyd
%TEMP%\_mei46082\_socket.pyd
%TEMP%\_mei46082\_ssl.pyd
%TEMP%\_mei46082\_zstd.pyd
%TEMP%\_mei46082\base_library.zip
%TEMP%\_mei46082\libcrypto-3.dll
%TEMP%\_mei46082\libffi-8.dll
%TEMP%\_mei46082\libssl-3.dll
%TEMP%\_mei46082\payload.bin
%TEMP%\_mei46082\python315.dll
%TEMP%\_mei46082\select.pyd
%TEMP%\_mei46082\unicodedata.pyd
%TEMP%\svchost_system.exe
%TEMP%\5ad2eje0
%TEMP%\tmpeqhiffdx.bat
nul
%TEMP%\__psscriptpolicytest_sldn1er3.0cs.ps1
%TEMP%\__psscriptpolicytest_oc3ggd4n.qiv.psm1
%TEMP%\__psscriptpolicytest_hafrg3zv.agn.ps1
%TEMP%\__psscriptpolicytest_wobrhkip.3uh.psm1
%TEMP%\__psscriptpolicytest_cydecfip.2zf.ps1
%TEMP%\__psscriptpolicytest_zapz4y0j.ima.psm1
%TEMP%\__psscriptpolicytest_4rqi4phg.yvs.ps1
%TEMP%\__psscriptpolicytest_il4wqnfk.jos.psm1
%TEMP%\__psscriptpolicytest_rdzqf4bs.vhe.ps1
%TEMP%\__psscriptpolicytest_aua2yjyr.eek.psm1
%TEMP%\__psscriptpolicytest_ey5mgifb.vio.ps1
%TEMP%\__psscriptpolicytest_0bc2j53m.h1c.psm1
%TEMP%\__psscriptpolicytest_tw03lhes.bw2.ps1
%TEMP%\__psscriptpolicytest_jg3bbjcg.gcr.psm1
%TEMP%\__psscriptpolicytest_t0w5wyuo.kft.ps1
%TEMP%\__psscriptpolicytest_cgvrnshp.jkl.psm1
%TEMP%\__psscriptpolicytest_cambg5el.btz.ps1
%TEMP%\__psscriptpolicytest_nmclbmln.gyr.psm1
%TEMP%\__psscriptpolicytest_1azq3rht.x5v.ps1
%TEMP%\__psscriptpolicytest_gls1gq2g.qly.psm1
%TEMP%\__psscriptpolicytest_xwaaonp3.jff.ps1
%TEMP%\__psscriptpolicytest_2ncu11e1.11f.psm1
%TEMP%\__psscriptpolicytest_u3f5udmq.jnp.ps1
%TEMP%\__psscriptpolicytest_yljmbqy1.3su.psm1
%LOCALAPPDATA%\microsoft\windows\powershell\moduleanalysiscache

Удаляет файлы, которые сам же создал

%TEMP%\5ad2eje0
%TEMP%\_mei46082\base_library.zip
%TEMP%\_mei46082\libcrypto-3.dll
%TEMP%\_mei46082\libffi-8.dll
%TEMP%\_mei46082\libssl-3.dll
%TEMP%\_mei46082\payload.bin
%TEMP%\_mei46082\python315.dll
%TEMP%\_mei46082\select.pyd
%TEMP%\_mei46082\unicodedata.pyd
%TEMP%\_mei46082\vcruntime140.dll
%TEMP%\_mei46082\_bz2.pyd
%TEMP%\_mei46082\_ctypes.pyd
%TEMP%\_mei46082\_decimal.pyd
%TEMP%\_mei46082\_hashlib.pyd
%TEMP%\_mei46082\_lzma.pyd
%TEMP%\_mei46082\_socket.pyd
%TEMP%\_mei46082\_ssl.pyd
%TEMP%\_mei46082\_zstd.pyd
%TEMP%\__psscriptpolicytest_sldn1er3.0cs.ps1
%TEMP%\__psscriptpolicytest_oc3ggd4n.qiv.psm1
%TEMP%\__psscriptpolicytest_hafrg3zv.agn.ps1
%TEMP%\__psscriptpolicytest_wobrhkip.3uh.psm1
%TEMP%\__psscriptpolicytest_cydecfip.2zf.ps1
%TEMP%\__psscriptpolicytest_zapz4y0j.ima.psm1
%TEMP%\__psscriptpolicytest_4rqi4phg.yvs.ps1
%TEMP%\__psscriptpolicytest_il4wqnfk.jos.psm1
%TEMP%\__psscriptpolicytest_rdzqf4bs.vhe.ps1
%TEMP%\__psscriptpolicytest_aua2yjyr.eek.psm1
%TEMP%\__psscriptpolicytest_ey5mgifb.vio.ps1
%TEMP%\__psscriptpolicytest_0bc2j53m.h1c.psm1
%TEMP%\__psscriptpolicytest_tw03lhes.bw2.ps1
%TEMP%\__psscriptpolicytest_jg3bbjcg.gcr.psm1
%TEMP%\__psscriptpolicytest_t0w5wyuo.kft.ps1
%TEMP%\__psscriptpolicytest_cgvrnshp.jkl.psm1
%TEMP%\__psscriptpolicytest_cambg5el.btz.ps1
%TEMP%\__psscriptpolicytest_nmclbmln.gyr.psm1
%TEMP%\__psscriptpolicytest_1azq3rht.x5v.ps1
%TEMP%\__psscriptpolicytest_gls1gq2g.qly.psm1
%TEMP%\__psscriptpolicytest_xwaaonp3.jff.ps1
%TEMP%\__psscriptpolicytest_2ncu11e1.11f.psm1
%TEMP%\__psscriptpolicytest_u3f5udmq.jnp.ps1
%TEMP%\__psscriptpolicytest_yljmbqy1.3su.psm1

Сетевая активность

UDP

DNS ASK mo#####.map.fastly.net

Другое

Ищет следующие окна

ClassName: 'Edit' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\mpx79ee.tmp.exe'
'<Текущая директория>\program.exe'
'%TEMP%\svchost_system.exe'

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c ""<Текущая директория>\install.bat" "
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Layers" /v "<Текущая директория>\program.exe" /t REG_SZ /d "~ WIN7RTM RUNASADMIN" /f
'<SYSTEM32>\cmd.exe' /c "start /B %TEMP%\tmpeqhiffdx.bat" (со скрытым окном)
'<SYSTEM32>\cmd.exe' /K %TEMP%\tmpeqhiffdx.bat
'<SYSTEM32>\timeout.exe' /t 1 /nobreak
'<SYSTEM32>\schtasks.exe' /create /f /RL HIGHEST /sc minute /mo 1 /tn "XWormClient" /tr "%APPDATA%\XWormClient.exe" (со скрытым окном)