Trojan.PWS.Siggen2.23504

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\-9-9-79-1246779802-1154138191-1077692375-5582\{o7ntxopk-alk5-44x7-et3q-bhdygzo7xcbl}

Вредоносные функции

Читает файлы, отвечающие за хранение паролей сторонними программами

<LS_APPDATA>\google\chrome\user data\default\login data
<LS_APPDATA>\google\chrome\user data\default\web data

Изменения в файловой системе

Создает следующие файлы

%TEMP%\auted83.tmp
%APPDATA%\wow64_microsoft-windows-mapcontrol\msyuv.module.exe.7
%TEMP%\aut4f9a.tmp
%APPDATA%\wow64_microsoft-windows-mapcontrol\1\information.txt
%APPDATA%\wow64_microsoft-windows-mapcontrol\1\cookies\mozilla firefox (6).txt
%APPDATA%\wow64_microsoft-windows-mapcontrol\1\telegram\d877f783d5d3ef8c1
%APPDATA%\wow64_microsoft-windows-mapcontrol\1\telegram\инструкция по установке.txt
%APPDATA%\wow64_microsoft-windows-mapcontrol\1\telegram\d877f783d5d3ef8c\map0
%APPDATA%\wow64_microsoft-windows-mapcontrol\1\steam\config\dialogconfig.vdf
%APPDATA%\wow64_microsoft-windows-mapcontrol\1\steam\инструкция по установке.txt
%APPDATA%\wow64_microsoft-windows-mapcontrol\1\steam\config\config.vdf
%APPDATA%\wow64_microsoft-windows-mapcontrol\1\screen.jpg
%APPDATA%\wow64_microsoft-windows-mapcontrol\msyuv.sqlite3.module.dll
%APPDATA%\wow64_microsoft-windows-mapcontrol\msyuv.sqlite3.module.dll.7
%TEMP%\aut496.tmp
<LS_APPDATA>\microsoft\windows\history\low\history.ie5\index.dat
%APPDATA%\microsoft\windows\cookies\low\index.dat
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\gz1or077\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\pl8gd9du\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\67tukp9e\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\h2nk0bf8\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\index.dat
<LS_APPDATA>\microsoft\windows\history\low\history.ie5\desktop.ini
<LS_APPDATA>\microsoft\windows\history\low\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\desktop.ini
%APPDATA%\wow64_microsoft-windows-mapcontrol\enu_4687fe978dc4e7202535
%APPDATA%\ekdy3itguamndzhfqoo\новый текстовый документ.txt
%TEMP%\autf15d.tmp
%APPDATA%\ekdy3itguamndzhfqoo\build.exe
%APPDATA%\wow64_microsoft-windows-mapcontrol\msyuv.module.exe
%APPDATA%\wow64_microsoft-windows-mapcontrol\enu_4687fe978dc4e7202535.7z

Присваивает атрибут 'скрытый' для следующих файлов

<LS_APPDATA>\microsoft\windows\<INETFILES>\low\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\h2nk0bf8\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\67tukp9e\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\pl8gd9du\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\gz1or077\desktop.ini
<LS_APPDATA>\microsoft\windows\history\low\history.ie5\desktop.ini
<LS_APPDATA>\microsoft\windows\history\low\desktop.ini

Удаляет следующие файлы

%TEMP%\auted83.tmp
%APPDATA%\wow64_microsoft-windows-mapcontrol\1\telegram\d877f783d5d3ef8c1
%APPDATA%\wow64_microsoft-windows-mapcontrol\1\steam\config\dialogconfig.vdf
%APPDATA%\wow64_microsoft-windows-mapcontrol\1\steam\config\config.vdf
%APPDATA%\wow64_microsoft-windows-mapcontrol\1\steam\инструкция по установке.txt
%APPDATA%\wow64_microsoft-windows-mapcontrol\1\cookies\mozilla firefox (6).txt
%APPDATA%\wow64_microsoft-windows-mapcontrol\1\screen.jpg
%APPDATA%\wow64_microsoft-windows-mapcontrol\1\telegram\инструкция по установке.txt
%APPDATA%\wow64_microsoft-windows-mapcontrol\1\information.txt
%APPDATA%\wow64_microsoft-windows-mapcontrol\msyuv.module.exe.7
%TEMP%\aut4f9a.tmp
%APPDATA%\wow64_microsoft-windows-mapcontrol\msyuv.sqlite3.module.dll
%APPDATA%\wow64_microsoft-windows-mapcontrol\msyuv.sqlite3.module.dll.7
%TEMP%\aut496.tmp
%TEMP%\autf15d.tmp
%APPDATA%\wow64_microsoft-windows-mapcontrol\msyuv.module.exe
%APPDATA%\wow64_microsoft-windows-mapcontrol\1\telegram\d877f783d5d3ef8c\map0

Перемещает следующие файлы

%APPDATA%\ekdy3itguamndzhfqoo\build.exe в %APPDATA%\wow64_microsoft-windows-mapcontrol\msyuv.exe

Сетевая активность

Подключается к

'19#.#33.30.100':65233

UDP

DNS ASK ap#.##legram.org
DNS ASK ip##i.co

Другое

Создает и запускает на исполнение

'%APPDATA%\ekdy3itguamndzhfqoo\build.exe'
'%APPDATA%\wow64_microsoft-windows-mapcontrol\msyuv.exe'
'%APPDATA%\wow64_microsoft-windows-mapcontrol\msyuv.module.exe' a -y -mx9 -ssw "%APPDATA%\wow64_microsoft-windows-mapcontrol\ENU_4687FE978DC4E7202535.7z" "%APPDATA%\wow64_microsoft-windows-mapcontrol\1\*"
'%APPDATA%\wow64_microsoft-windows-mapcontrol\msyuv.module.exe' a -y -mx9 -ssw "%APPDATA%\wow64_microsoft-windows-mapcontrol\ENU_4687FE978DC4E7202535.7z" "%APPDATA%\wow64_microsoft-windows-mapcontrol\1\*"' (со скрытым окном)
'%WINDIR%\syswow64\attrib.exe' +s +h "%APPDATA%\wow64_microsoft-windows-mapcontrol"' (со скрытым окном)
'%APPDATA%\wow64_microsoft-windows-mapcontrol\msyuv.exe' ' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\notepad.exe' %APPDATA%\ekdY3ItgUaMNdZHFQOO\Новый текстовый документ.txt
'%WINDIR%\syswow64\rundll32.exe' "%WINDIR%\syswow64\WININET.dll",DispatchAPICall 1
'%WINDIR%\syswow64\attrib.exe' +s +h "%APPDATA%\wow64_microsoft-windows-mapcontrol"
'<SYSTEM32>\taskeng.exe' {DD9CD21F-093F-4B86-A648-B5198588733A} S-1-5-21-1960123792-2022915161-3775307078-1001:prwntlmx\user:Interactive:[1]