Trojan.Siggen19.53178

Technical Information

To ensure autorun and distribution

Modifies the following registry keys

[<HKCU>\Software\Classes\XpressZip.7z\shell\open\command] '' = '"%APPDATA%\XpressZip\XpressZip.exe" "%1"'
[<HKLM>\Software\Classes\XpressZip.gz\shell\open\command] '' = '"%APPDATA%\XpressZip\XpressZip.exe" "%1"'
[<HKCU>\Software\Classes\XpressZip.hfs\shell\open\command] '' = '"%APPDATA%\XpressZip\XpressZip.exe" "%1"'
[<HKLM>\Software\Classes\XpressZip.hfs\shell\open\command] '' = '"%APPDATA%\XpressZip\XpressZip.exe" "%1"'
[<HKCU>\Software\Classes\XpressZip.lzh\shell\open\command] '' = '"%APPDATA%\XpressZip\XpressZip.exe" "%1"'
[<HKLM>\Software\Classes\XpressZip.lzh\shell\open\command] '' = '"%APPDATA%\XpressZip\XpressZip.exe" "%1"'
[<HKCU>\Software\Classes\XpressZip.lzma\shell\open\command] '' = '"%APPDATA%\XpressZip\XpressZip.exe" "%1"'
[<HKLM>\Software\Classes\XpressZip.lzma\shell\open\command] '' = '"%APPDATA%\XpressZip\XpressZip.exe" "%1"'
[<HKCU>\Software\Classes\XpressZip.ntfs\shell\open\command] '' = '"%APPDATA%\XpressZip\XpressZip.exe" "%1"'
[<HKLM>\Software\Classes\XpressZip.ntfs\shell\open\command] '' = '"%APPDATA%\XpressZip\XpressZip.exe" "%1"'
[<HKLM>\Software\Classes\XpressZip.fat\shell\open\command] '' = '"%APPDATA%\XpressZip\XpressZip.exe" "%1"'
[<HKCU>\Software\Classes\XpressZip.gz\shell\open\command] '' = '"%APPDATA%\XpressZip\XpressZip.exe" "%1"'
[<HKCU>\Software\Classes\XpressZip.rpm\shell\open\command] '' = '"%APPDATA%\XpressZip\XpressZip.exe" "%1"'
[<HKLM>\Software\Classes\XpressZip.split\shell\open\command] '' = '"%APPDATA%\XpressZip\XpressZip.exe" "%1"'
[<HKCU>\Software\Classes\XpressZip.squashfs\shell\open\command] '' = '"%APPDATA%\XpressZip\XpressZip.exe" "%1"'
[<HKLM>\Software\Classes\XpressZip.squashfs\shell\open\command] '' = '"%APPDATA%\XpressZip\XpressZip.exe" "%1"'
[<HKCU>\Software\Classes\XpressZip.vhd\shell\open\command] '' = '"%APPDATA%\XpressZip\XpressZip.exe" "%1"'
[<HKLM>\Software\Classes\XpressZip.vhd\shell\open\command] '' = '"%APPDATA%\XpressZip\XpressZip.exe" "%1"'
[<HKCU>\Software\Classes\XpressZip.xar\shell\open\command] '' = '"%APPDATA%\XpressZip\XpressZip.exe" "%1"'
[<HKLM>\Software\Classes\XpressZip.xar\shell\open\command] '' = '"%APPDATA%\XpressZip\XpressZip.exe" "%1"'
[<HKCU>\Software\Classes\XpressZip.xz\shell\open\command] '' = '"%APPDATA%\XpressZip\XpressZip.exe" "%1"'
[<HKLM>\Software\Classes\XpressZip.xz\shell\open\command] '' = '"%APPDATA%\XpressZip\XpressZip.exe" "%1"'
[<HKLM>\Software\Classes\XpressZip.rpm\shell\open\command] '' = '"%APPDATA%\XpressZip\XpressZip.exe" "%1"'
[<HKCU>\Software\Classes\XpressZip.split\shell\open\command] '' = '"%APPDATA%\XpressZip\XpressZip.exe" "%1"'
[<HKCU>\Software\Classes\XpressZip.fat\shell\open\command] '' = '"%APPDATA%\XpressZip\XpressZip.exe" "%1"'
[<HKLM>\Software\Classes\XpressZip.dmg\shell\open\command] '' = '"%APPDATA%\XpressZip\XpressZip.exe" "%1"'
[<HKCU>\Software\Classes\XpressZip.dmg\shell\open\command] '' = '"%APPDATA%\XpressZip\XpressZip.exe" "%1"'
[<HKCU>\Software\Classes\XpressZip.zip\shell\open\command] '' = '"%APPDATA%\XpressZip\XpressZip.exe" "%1"'
[<HKLM>\Software\Classes\XpressZip.zip\shell\open\command] '' = '"%APPDATA%\XpressZip\XpressZip.exe" "%1"'
[<HKCU>\Software\Classes\XpressZip.rar\shell\open\command] '' = '"%APPDATA%\XpressZip\XpressZip.exe" "%1"'
[<HKLM>\Software\Classes\XpressZip.rar\shell\open\command] '' = '"%APPDATA%\XpressZip\XpressZip.exe" "%1"'
[<HKCU>\Software\Classes\XpressZip.001\shell\open\command] '' = '"%APPDATA%\XpressZip\XpressZip.exe" "%1"'
[<HKLM>\Software\Classes\XpressZip.001\shell\open\command] '' = '"%APPDATA%\XpressZip\XpressZip.exe" "%1"'
[<HKCU>\Software\Classes\XpressZip.cab\shell\open\command] '' = '"%APPDATA%\XpressZip\XpressZip.exe" "%1"'
[<HKLM>\Software\Classes\XpressZip.cab\shell\open\command] '' = '"%APPDATA%\XpressZip\XpressZip.exe" "%1"'
[<HKCU>\Software\Classes\XpressZip.iso\shell\open\command] '' = '"%APPDATA%\XpressZip\XpressZip.exe" "%1"'
[<HKLM>\Software\Classes\XpressZip.iso\shell\open\command] '' = '"%APPDATA%\XpressZip\XpressZip.exe" "%1"'
[<HKLM>\Software\Classes\XpressZip.7z\shell\open\command] '' = '"%APPDATA%\XpressZip\XpressZip.exe" "%1"'
[<HKCU>\Software\Classes\XpressZip.wim\shell\open\command] '' = '"%APPDATA%\XpressZip\XpressZip.exe" "%1"'
[<HKCU>\Software\Classes\XpressZip.tar\shell\open\command] '' = '"%APPDATA%\XpressZip\XpressZip.exe" "%1"'
[<HKLM>\Software\Classes\XpressZip.tar\shell\open\command] '' = '"%APPDATA%\XpressZip\XpressZip.exe" "%1"'
[<HKCU>\Software\Classes\XpressZip.arj\shell\open\command] '' = '"%APPDATA%\XpressZip\XpressZip.exe" "%1"'
[<HKLM>\Software\Classes\XpressZip.arj\shell\open\command] '' = '"%APPDATA%\XpressZip\XpressZip.exe" "%1"'
[<HKCU>\Software\Classes\XpressZip.bz2\shell\open\command] '' = '"%APPDATA%\XpressZip\XpressZip.exe" "%1"'
[<HKLM>\Software\Classes\XpressZip.bz2\shell\open\command] '' = '"%APPDATA%\XpressZip\XpressZip.exe" "%1"'
[<HKCU>\Software\Classes\XpressZip.cpio\shell\open\command] '' = '"%APPDATA%\XpressZip\XpressZip.exe" "%1"'
[<HKLM>\Software\Classes\XpressZip.cpio\shell\open\command] '' = '"%APPDATA%\XpressZip\XpressZip.exe" "%1"'
[<HKCU>\Software\Classes\XpressZip.deb\shell\open\command] '' = '"%APPDATA%\XpressZip\XpressZip.exe" "%1"'
[<HKLM>\Software\Classes\XpressZip.deb\shell\open\command] '' = '"%APPDATA%\XpressZip\XpressZip.exe" "%1"'
[<HKLM>\Software\Classes\XpressZip.wim\shell\open\command] '' = '"%APPDATA%\XpressZip\XpressZip.exe" "%1"'
[<HKCU>\Software\Classes\XpressZip.z\shell\open\command] '' = '"%APPDATA%\XpressZip\XpressZip.exe" "%1"'
[<HKLM>\Software\Classes\XpressZip.z\shell\open\command] '' = '"%APPDATA%\XpressZip\XpressZip.exe" "%1"'

Malicious functions

Executes the following

'%WINDIR%\syswow64\taskkill.exe' /f /im XpressZip.exe
'%WINDIR%\syswow64\taskkill.exe' /f /im XpressZipEx.exe
'%WINDIR%\syswow64\taskkill.exe' /f /im XpressZipShell.exe

Modifies file system

Creates the following files

%TEMP%\is-eufqp.tmp\<File name>.tmp
%APPDATA%\xpresszip\skin\is-frod0.tmp
%APPDATA%\xpresszip\skin\is-d7vb4.tmp
%APPDATA%\xpresszip\skin\is-cc3j1.tmp
%APPDATA%\xpresszip\skin\is-bt8gt.tmp
%APPDATA%\xpresszip\skin\is-6vnld.tmp
%APPDATA%\xpresszip\skin\is-r2ro5.tmp
%APPDATA%\xpresszip\skin\is-7oi39.tmp
%APPDATA%\xpresszip\skin\is-38jd1.tmp
%APPDATA%\xpresszip\skin\is-14pp4.tmp
%APPDATA%\xpresszip\skin\is-bh0tr.tmp
%APPDATA%\xpresszip\skin\is-rqgum.tmp
%APPDATA%\xpresszip\skin\is-4p6h6.tmp
%APPDATA%\xpresszip\skin\is-uklku.tmp
%APPDATA%\xpresszip\skin\is-vnpbu.tmp
%APPDATA%\xpresszip\skin\is-4kck3.tmp
%APPDATA%\xpresszip\skin\is-41o74.tmp
%APPDATA%\xpresszip\skin\is-teipj.tmp
%APPDATA%\xpresszip\skin\is-hs2m5.tmp
%APPDATA%\xpresszip\skin\is-iah66.tmp
%APPDATA%\xpresszip\skin\is-cissi.tmp
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\xpresszip\Г«Г¦Г°Г¤Г±В№Г«Гµ.lnk
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\xpresszip\Г°В¶ГґГё Г«Г¦Г°Г¤Г±В№Г«Гµ.lnk
%APPDATA%\xpresszip\xpresszip.cfg
%APPDATA%\xpresszip\skin\is-07vn0.tmp
%TEMP%\26b5.tmp
%APPDATA%\xpresszip\skin\is-i92j8.tmp
%APPDATA%\xpresszip\skin\is-55fn5.tmp
%TEMP%\is-u68uo.tmp\_isetup\_setup64.tmp
%APPDATA%\xpresszip\is-k6ec4.tmp
%APPDATA%\xpresszip\is-k641a.tmp
%APPDATA%\xpresszip\is-uot6e.tmp
%APPDATA%\xpresszip\is-5038a.tmp
%APPDATA%\xpresszip\is-f2iqu.tmp
%APPDATA%\xpresszip\is-6ov6b.tmp
%APPDATA%\xpresszip\is-8gt6k.tmp
%APPDATA%\xpresszip\is-4vsc8.tmp
%APPDATA%\xpresszip\is-7bdtm.tmp
%APPDATA%\xpresszip\lang\is-m5pv4.tmp
%APPDATA%\xpresszip\lang\is-hv3pk.tmp
%APPDATA%\xpresszip\skin\is-a40ub.tmp
%APPDATA%\xpresszip\skin\is-l4mn5.tmp
%APPDATA%\xpresszip\skin\is-0pvpf.tmp
%APPDATA%\xpresszip\skin\is-8c247.tmp
%APPDATA%\xpresszip\skin\is-ojuma.tmp
%APPDATA%\xpresszip\skin\is-f39u2.tmp
%APPDATA%\xpresszip\skin\is-nco71.tmp
%APPDATA%\xpresszip\skin\is-kllv5.tmp
%APPDATA%\xpresszip\skin\is-vm2fu.tmp
%APPDATA%\xpresszip\skin\is-5qvt6.tmp
%APPDATA%\xpresszip\skin\is-s3ktl.tmp
%APPDATA%\xpresszip\skin\is-fumav.tmp
%TEMP%\2cca.tmp

Deletes the following files

%APPDATA%\xpresszip\xpresszip.exe
%TEMP%\is-u68uo.tmp\_isetup\_setup64.tmp
%TEMP%\is-eufqp.tmp\<File name>.tmp

Moves the following files

from %APPDATA%\xpresszip\is-k6ec4.tmp to %APPDATA%\xpresszip\xpresszip.exe
from %APPDATA%\xpresszip\skin\is-07vn0.tmp to %APPDATA%\xpresszip\skin\copywc.png
from %APPDATA%\xpresszip\skin\is-frod0.tmp to %APPDATA%\xpresszip\skin\decomp.png
from %APPDATA%\xpresszip\skin\is-d7vb4.tmp to %APPDATA%\xpresszip\skin\decomprogbutton.png
from %APPDATA%\xpresszip\skin\is-cc3j1.tmp to %APPDATA%\xpresszip\skin\helper.png
from %APPDATA%\xpresszip\skin\is-bt8gt.tmp to %APPDATA%\xpresszip\skin\ico.png
from %APPDATA%\xpresszip\skin\is-6vnld.tmp to %APPDATA%\xpresszip\skin\img.png
from %APPDATA%\xpresszip\skin\is-r2ro5.tmp to %APPDATA%\xpresszip\skin\jywc.png
from %APPDATA%\xpresszip\skin\is-7oi39.tmp to %APPDATA%\xpresszip\skin\lg.png
from %APPDATA%\xpresszip\skin\is-38jd1.tmp to %APPDATA%\xpresszip\skin\lg2.png
from %APPDATA%\xpresszip\skin\is-14pp4.tmp to %APPDATA%\xpresszip\skin\min.png
from %APPDATA%\xpresszip\skin\is-bh0tr.tmp to %APPDATA%\xpresszip\skin\pbk.png
from %APPDATA%\xpresszip\skin\is-rqgum.tmp to %APPDATA%\xpresszip\skin\prog.png
from %APPDATA%\xpresszip\skin\is-4p6h6.tmp to %APPDATA%\xpresszip\skin\put.png
from %APPDATA%\xpresszip\skin\is-uklku.tmp to %APPDATA%\xpresszip\skin\rbk.png
from %APPDATA%\xpresszip\skin\is-vnpbu.tmp to %APPDATA%\xpresszip\skin\rename.png
from %APPDATA%\xpresszip\skin\is-4kck3.tmp to %APPDATA%\xpresszip\skin\replace.png
from %APPDATA%\xpresszip\skin\is-41o74.tmp to %APPDATA%\xpresszip\skin\skip.png
from %APPDATA%\xpresszip\skin\is-teipj.tmp to %APPDATA%\xpresszip\skin\stop.png
from %APPDATA%\xpresszip\skin\is-hs2m5.tmp to %APPDATA%\xpresszip\skin\sysbar_facbeek.png
from %APPDATA%\xpresszip\skin\is-i92j8.tmp to %APPDATA%\xpresszip\skin\comp.png
from %APPDATA%\xpresszip\skin\is-iah66.tmp to %APPDATA%\xpresszip\skin\txt.png
from %APPDATA%\xpresszip\skin\is-fumav.tmp to %APPDATA%\xpresszip\skin\close.png
from %APPDATA%\xpresszip\skin\is-s3ktl.tmp to %APPDATA%\xpresszip\skin\check.png
from %APPDATA%\xpresszip\is-k641a.tmp to %APPDATA%\xpresszip\7z.dll
from %APPDATA%\xpresszip\is-uot6e.tmp to %APPDATA%\xpresszip\uninst.exe
from %APPDATA%\xpresszip\is-f2iqu.tmp to %APPDATA%\xpresszip\xpresszip.sfx
from %APPDATA%\xpresszip\is-6ov6b.tmp to %APPDATA%\xpresszip\xpresszip.dll
from %APPDATA%\xpresszip\is-8gt6k.tmp to %APPDATA%\xpresszip\xpresszipex.exe
from %APPDATA%\xpresszip\is-4vsc8.tmp to %APPDATA%\xpresszip\xpresszipexshell.dll
from %APPDATA%\xpresszip\is-7bdtm.tmp to %APPDATA%\xpresszip\xpresszipshell.exe
from %APPDATA%\xpresszip\lang\is-m5pv4.tmp to %APPDATA%\xpresszip\lang\en.ttt
from %APPDATA%\xpresszip\lang\is-hv3pk.tmp to %APPDATA%\xpresszip\lang\zh-cn.lang
from %APPDATA%\xpresszip\skin\is-a40ub.tmp to %APPDATA%\xpresszip\skin\allrename.png
from %APPDATA%\xpresszip\skin\is-l4mn5.tmp to %APPDATA%\xpresszip\skin\allreplace.png
from %APPDATA%\xpresszip\skin\is-0pvpf.tmp to %APPDATA%\xpresszip\skin\allskip.png
from %APPDATA%\xpresszip\skin\is-8c247.tmp to %APPDATA%\xpresszip\skin\bg.png
from %APPDATA%\xpresszip\skin\is-ojuma.tmp to %APPDATA%\xpresszip\skin\bk.png
from %APPDATA%\xpresszip\skin\is-f39u2.tmp to %APPDATA%\xpresszip\skin\browser.png
from %APPDATA%\xpresszip\skin\is-nco71.tmp to %APPDATA%\xpresszip\skin\btn_cat.png
from %APPDATA%\xpresszip\skin\is-kllv5.tmp to %APPDATA%\xpresszip\skin\btn_copy.png
from %APPDATA%\xpresszip\skin\is-vm2fu.tmp to %APPDATA%\xpresszip\skin\btn_opendir.png
from %APPDATA%\xpresszip\skin\is-5qvt6.tmp to %APPDATA%\xpresszip\skin\cancle.png
from %APPDATA%\xpresszip\skin\is-55fn5.tmp to %APPDATA%\xpresszip\skin\checkbox2.png
from %APPDATA%\xpresszip\skin\is-cissi.tmp to %APPDATA%\xpresszip\skin\yswc.png

Substitutes the following files

%APPDATA%\xpresszip\xpresszip.exe

Network activity

Connects to

'cf#.#swzayy.com':80

TCP

HTTP GET requests

http://cf#.#swzayy.com/Public/conf/ctrol1/XpressZip.ini
http://cf#.#swzayy.com/Public/conf/ctrol1/xpresszipu.ini

UDP

DNS ASK st.##wzayy.com
DNS ASK cf#.#swzayy.com

Miscellaneous

Searches for the following windows

ClassName: '' WindowName: ''
ClassName: 'DirectUIHWND' WindowName: ''
ClassName: 'CtrlNotifySink' WindowName: ''
ClassName: 'Button' WindowName: ''

Creates and executes the following

'%TEMP%\is-eufqp.tmp\<File name>.tmp' /SL5="$120222,1806569,92160,<Full path to file>"
'%APPDATA%\xpresszip\xpresszipshell.exe' install
'%APPDATA%\xpresszip\xpresszipex.exe'
'%WINDIR%\syswow64\taskkill.exe' /f /im XpressZip.exe' (with hidden window)
'%WINDIR%\syswow64\taskkill.exe' /f /im XpressZipEx.exe' (with hidden window)
'%WINDIR%\syswow64\taskkill.exe' /f /im XpressZipShell.exe' (with hidden window)

Executes the following

'<SYSTEM32>\regsvr32.exe' /s "%APPDATA%\XpressZip\XpressZip.dll"
'%WINDIR%\syswow64\regsvr32.exe' /s/u %APPDATA%\XpressZip\XpressZipExShell.dll
'<SYSTEM32>\regsvr32.exe' /s/u %APPDATA%\XpressZip\XpressZipExShell.dll
'%WINDIR%\syswow64\rundll32.exe' %APPDATA%\XpressZip\XpressZipExShell.dll InstallShellEx
'<SYSTEM32>\rundll32.exe' %APPDATA%\XpressZip\XpressZipExShell.dll InstallShellEx

Technologies

Terminology

Training and education

Myths

Technical Information

Curing recommendations

Free trial