Trojan.Siggen34.18853

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[HKLM\SYSTEM\CurrentControlSet\Services\CloudDeskAgent] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\CloudDeskAgent] 'ImagePath' = '"%ProgramFiles%\CloudDesk\clouddesk-agent.exe" --service'

Создает следующие сервисы

'CloudDeskAgent' %ProgramFiles%\CloudDesk\clouddesk-agent.exe" --servic

Изменения в файловой системе

Создает следующие файлы

%ALLUSERSPROFILE%\clouddeskagent\config.json.tmp
%ProgramFiles%\clouddesk\clouddesk-agent.exe
%ALLUSERSPROFILE%\clouddeskagent\audit\audit-2026-09-22.jsonl
%ALLUSERSPROFILE%\clouddeskagent\machine-id
%ALLUSERSPROFILE%\clouddeskagent\agent-status.json.tmp

Перемещает следующие файлы

%ALLUSERSPROFILE%\clouddeskagent\config.json.tmp в %ALLUSERSPROFILE%\clouddeskagent\config.json
%ALLUSERSPROFILE%\clouddeskagent\agent-status.json.tmp в %ALLUSERSPROFILE%\clouddeskagent\agent-status.json

Подменяет следующие файлы

%ALLUSERSPROFILE%\clouddeskagent\config.json.tmp
%ALLUSERSPROFILE%\clouddeskagent\config.json
%ALLUSERSPROFILE%\clouddeskagent\agent-status.json.tmp
%ALLUSERSPROFILE%\clouddeskagent\agent-status.json

Сетевая активность

Подключается к

'de###in.com.es':443
'x1.#.lencr.org':80
'cl###desk.cc':443
'cr#.#ectigo.com':80
'1.#.1.1':53

TCP

Запросы HTTP GET

http://x1.#.lencr.org/
http://cr#.#ectigo.com/SectigoPublicServerAuthenticationRootR46.p7c

Другие

'de###in.com.es':443
'cl###desk.cc':443

UDP

DNS ASK de###in.com.es
DNS ASK x1.#.lencr.org
DNS ASK cl###desk.cc
DNS ASK cr#.#ectigo.com

Другое

Создает и запускает на исполнение

'%ProgramFiles%\clouddesk\clouddesk-agent.exe' --service

Запускает на исполнение

'<SYSTEM32>\sc.exe' query CloudDeskAgent
'<SYSTEM32>\reg.exe' add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\CloudDesk /v DisplayName /t REG_SZ /d "CloudDesk RMM Agent" /f
'<SYSTEM32>\reg.exe' query HKLM\SOFTWARE\Microsoft\Cryptography /v MachineGuid
'<SYSTEM32>\reg.exe' add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\CloudDesk /v DisplayVersion /t REG_SZ /d 2.2.0 /f
'<SYSTEM32>\reg.exe' add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\CloudDesk /v Publisher /t REG_SZ /d CloudDesk /f
'<SYSTEM32>\reg.exe' add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\CloudDesk /v UninstallString /t REG_SZ /d "\"%ProgramFiles%\CloudDesk\clouddesk-agent.exe\" --uninstall" /f
'<SYSTEM32>\reg.exe' add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\CloudDesk /v InstallLocation /t REG_SZ /d "%ProgramFiles%\CloudDesk" /f
'<SYSTEM32>\reg.exe' add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\CloudDesk /v DisplayIcon /t REG_SZ /d "%ProgramFiles%\CloudDesk\clouddesk-agent.exe,0" /f
'<SYSTEM32>\reg.exe' add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\CloudDesk /v InstallDate /t REG_SZ /d 20260922 /f
'<SYSTEM32>\reg.exe' add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\CloudDesk /v EstimatedSize /t REG_DWORD /d 3279 /f
'<SYSTEM32>\reg.exe' add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\CloudDesk /v URLInfoAbout /t REG_SZ /d https://clouddesk.io /f
'<SYSTEM32>\reg.exe' add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\CloudDesk /v HelpLink /t REG_SZ /d https://clouddesk.io/support /f
'<SYSTEM32>\reg.exe' add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\CloudDesk /v Comments /t REG_SZ /d "Remote Monitoring and Management Agent for authorized IT administration. Installed with administ...
'<SYSTEM32>\reg.exe' add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\CloudDesk /v NoModify /t REG_DWORD /d 1 /f
'<SYSTEM32>\reg.exe' add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\CloudDesk /v NoRepair /t REG_DWORD /d 1 /f
'<SYSTEM32>\sc.exe' failure CloudDeskAgent reset= 0 actions= restart/3000/restart/3000/restart/3000
'<SYSTEM32>\sc.exe' failureflag CloudDeskAgent 1
'<SYSTEM32>\sc.exe' config CloudDeskAgent start= delayed-auto
'<SYSTEM32>\sc.exe' sidtype CloudDeskAgent unrestricted
'<SYSTEM32>\sc.exe' preshutdown CloudDeskAgent 180000
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -Command "[Windows.UI.Notifications.ToastNotificationManager, Windows.UI.Notifications, ContentType = WindowsRuntime] | Out-Null; $xml = [Windows.UI.Notifications.ToastNotif...
'<SYSTEM32>\query.exe' user
'<SYSTEM32>\quser.exe'
'<SYSTEM32>\ipconfig.exe' /all