Trojan.PWS.Siggen2.22790

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'VolID' = 'true'

Вредоносные функции

Запускает на исполнение

'%WINDIR%\syswow64\taskkill.exe' /im "<Имя файла>.exe" /f

Завершает или пытается завершить

следующие пользовательские процессы:

firefox.exe

Читает файлы, отвечающие за хранение паролей сторонними программами

<LS_APPDATA>\google\chrome\user data\default\web data
%APPDATA%\opera software\opera stable\login data

Изменения в файловой системе

Создает следующие файлы

<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\caasbycl\taskis[1].exe
%PROGRAMDATA%\0eb7sihvn0r2wauh0tbsj4m9k\files\history\opera_stable.txt
%PROGRAMDATA%\0eb7sihvn0r2wauh0tbsj4m9k\files\cookies\opera_stable.txt
%PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
%PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
%PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
<LS_APPDATA>\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\bzjx5bke\set[1].exe
%PROGRAMDATA%\0eb7sihvn0r2wauh0tbsj4m9k\files\cookies\google chrome_default.txt
%PROGRAMDATA%\0eb7sihvn0r2wauh0tbsj4m9k\wd
%TEMP%\7589389473.exe
%ProgramFiles(x86)%\volid\license.txt
%ProgramFiles(x86)%\volid\msvbvm60.dll
%ProgramFiles(x86)%\volid\readme.txt
%ProgramFiles(x86)%\volid\vbf.csi
%ProgramFiles(x86)%\volid\volid.chm
%ProgramFiles(x86)%\volid\volid.exe
%ProgramFiles(x86)%\volid\volid.exe.manifest
%TEMP%\$inst\2.tmp
%TEMP%\$inst\temp_0.tmp
%PROGRAMDATA%\0eb7sihvn0r2wauh0tbsj4m9k\historych
%PROGRAMDATA%\0eb7sihvn0r2wauh0tbsj4m9k\ld
%PROGRAMDATA%\0eb7sihvn0r2wauh0tbsj4m9k\files\history\history_mozilla firefox_gn7ryp3k.default.txt
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\re1n75kr\126[1].txt
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\0u8lpyu9\freebl3[1].dll
%PROGRAMDATA%\freebl3.dll
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\caasbycl\mozglue[1].dll
%PROGRAMDATA%\mozglue.dll
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\bzjx5bke\msvcp140[1].dll
%PROGRAMDATA%\msvcp140.dll
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\re1n75kr\nss3[1].dll
%TEMP%\5308478207.exe
%PROGRAMDATA%\nss3.dll
%PROGRAMDATA%\softokn3.dll
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\caasbycl\vcruntime140[1].dll
%PROGRAMDATA%\vcruntime140.dll
%PROGRAMDATA%\0eb7sihvn0r2wauh0tbsj4m9k\c
%PROGRAMDATA%\0eb7sihvn0r2wauh0tbsj4m9k\c-shm
%PROGRAMDATA%\0eb7sihvn0r2wauh0tbsj4m9k\files\cookies\cookies_mozilla firefox_gn7ryp3k.default.txt
%PROGRAMDATA%\0eb7sihvn0r2wauh0tbsj4m9k\history
%PROGRAMDATA%\0eb7sihvn0r2wauh0tbsj4m9k\history-shm
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\0u8lpyu9\softokn3[1].dll
%ProgramFiles(x86)%\volid\uninstall.exe
%ProgramFiles(x86)%\volid\uninstall.ini

Удаляет следующие файлы

%PROGRAMDATA%\0eb7sihvn0r2wauh0tbsj4m9k\c-shm
%PROGRAMDATA%\0eb7sihvn0r2wauh0tbsj4m9k\history-shm
%TEMP%\$inst\temp_0.tmp
%TEMP%\$inst\2.tmp

Самоудаляется.

Сетевая активность

Подключается к

'se##eta.com':80

TCP

Запросы HTTP GET

http://ma##r.info/XGu48
http://ss###oxys.com/freebl3.dll
http://ss###oxys.com/mozglue.dll
http://ss###oxys.com/msvcp140.dll
http://ss###oxys.com/nss3.dll
http://ss###oxys.com/softokn3.dll
http://ss###oxys.com/vcruntime140.dll
http://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/02FAF3E291435468607857694DF5E45B68851868.crt

UDP

DNS ASK se##eta.com
DNS ASK ma##r.info
DNS ASK ss###oxys.com

Другое

Ищет следующие окна

ClassName: '' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\5308478207.exe'
'%TEMP%\7589389473.exe'
'%WINDIR%\syswow64\cmd.exe' /c start /I "" "%TEMP%\5308478207.exe"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c start /I "" "%TEMP%\7589389473.exe"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c taskkill /im "<Имя файла>.exe" /f & erase "<Полный путь к файлу>" & exit' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c start /I "" "%TEMP%\5308478207.exe"
'%WINDIR%\syswow64\cmd.exe' /c start /I "" "%TEMP%\7589389473.exe"
'%WINDIR%\syswow64\cmd.exe' /c taskkill /im "<Имя файла>.exe" /f & erase "<Полный путь к файлу>" & exit