Trojan.PWS.Siggen2.24812

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '{WVD5LNKE-UV65-FCNH-FEKZ-FSI9PNFQV7F}' = '"%APPDATA%\x86_microsoft.windows.c..-controls.resources\cfgmgr32.exe"'

Вредоносные функции

Запускает на исполнение

'<SYSTEM32>\taskkill.exe' /f /pid 4000

Читает файлы, отвечающие за хранение паролей сторонними программами

<LS_APPDATA>\google\chrome\user data\default\cookies
<LS_APPDATA>\google\chrome\user data\default\login data
<LS_APPDATA>\google\chrome\user data\default\web data

Изменения в файловой системе

Создает следующие файлы

%TEMP%\aut1.tmp
%APPDATA%\x86_microsoft.windows.c..-controls.resources\cfgmgr32.module.exe.7
%TEMP%\aut6.tmp
%APPDATA%\x86_microsoft.windows.c..-controls.resources\1\information.txt
%APPDATA%\x86_microsoft.windows.c..-controls.resources\1\cookies\mozilla firefox (6).txt
%APPDATA%\x86_microsoft.windows.c..-controls.resources\1\telegram\d877f783d5d3ef8c1
%APPDATA%\x86_microsoft.windows.c..-controls.resources\1\telegram\инструкция по установке.txt
%APPDATA%\x86_microsoft.windows.c..-controls.resources\1\telegram\d877f783d5d3ef8c\map0
%APPDATA%\x86_microsoft.windows.c..-controls.resources\1\steam\config\dialogconfig.vdf
%APPDATA%\x86_microsoft.windows.c..-controls.resources\1\steam\инструкция по установке.txt
%APPDATA%\x86_microsoft.windows.c..-controls.resources\1\steam\config\config.vdf
%APPDATA%\x86_microsoft.windows.c..-controls.resources\cfgmgr32.module.exe
%APPDATA%\x86_microsoft.windows.c..-controls.resources\1\screen.jpg
%APPDATA%\x86_microsoft.windows.c..-controls.resources\cfgmgr32.sqlite3.module.dll.7
%TEMP%\aut5.tmp
%APPDATA%\x86_microsoft.windows.c..-controls.resources\enu_868808fe973879522535
%APPDATA%\gzt3aqzkeflx5hokdz\rektware.png
%TEMP%\aut4.tmp
%APPDATA%\gzt3aqzkeflx5hokdz\build.exe
%TEMP%\aut3.tmp
%APPDATA%\b1gkgldxzo6p85y7lfyvbsxe\rektware.png
%TEMP%\aut2.tmp
%APPDATA%\b1gkgldxzo6p85y7lfyvbsxe\build.exe
%APPDATA%\x86_microsoft.windows.c..-controls.resources\cfgmgr32.sqlite3.module.dll
%APPDATA%\x86_microsoft.windows.c..-controls.resources\enu_868808fe973879522535.7z

Удаляет следующие файлы

%TEMP%\aut1.tmp
%APPDATA%\x86_microsoft.windows.c..-controls.resources\1\steam\config\config.vdf
%APPDATA%\x86_microsoft.windows.c..-controls.resources\1\steam\инструкция по установке.txt
%APPDATA%\x86_microsoft.windows.c..-controls.resources\1\telegram\d877f783d5d3ef8c\map0
%APPDATA%\x86_microsoft.windows.c..-controls.resources\1\telegram\инструкция по установке.txt
%APPDATA%\x86_microsoft.windows.c..-controls.resources\1\telegram\d877f783d5d3ef8c1
%APPDATA%\x86_microsoft.windows.c..-controls.resources\1\screen.jpg
%APPDATA%\x86_microsoft.windows.c..-controls.resources\1\information.txt
%APPDATA%\x86_microsoft.windows.c..-controls.resources\cfgmgr32.module.exe
%APPDATA%\x86_microsoft.windows.c..-controls.resources\cfgmgr32.module.exe.7
%TEMP%\aut6.tmp
%APPDATA%\x86_microsoft.windows.c..-controls.resources\cfgmgr32.sqlite3.module.dll
%APPDATA%\x86_microsoft.windows.c..-controls.resources\cfgmgr32.sqlite3.module.dll.7
%TEMP%\aut5.tmp
%APPDATA%\gzt3aqzkeflx5hokdz\build.exe
%TEMP%\aut4.tmp
%TEMP%\aut3.tmp
%TEMP%\aut2.tmp
%APPDATA%\x86_microsoft.windows.c..-controls.resources\1\steam\config\dialogconfig.vdf
%APPDATA%\x86_microsoft.windows.c..-controls.resources\1\cookies\mozilla firefox (6).txt

Перемещает следующие файлы

%APPDATA%\b1gkgldxzo6p85y7lfyvbsxe\build.exe в %APPDATA%\x86_microsoft.windows.c..-controls.resources\cfgmgr32.exe

Сетевая активность

Подключается к

'19#.#01.148.98':65233

UDP

DNS ASK ap#.##legram.org
DNS ASK ip##i.co

Другое

Ищет следующие окна

ClassName: 'ShImgVw:CPreviewWnd' WindowName: ''
ClassName: '' WindowName: ''

Создает и запускает на исполнение

'%APPDATA%\b1gkgldxzo6p85y7lfyvbsxe\build.exe'
'%APPDATA%\gzt3aqzkeflx5hokdz\build.exe'
'%APPDATA%\x86_microsoft.windows.c..-controls.resources\cfgmgr32.exe'
'%APPDATA%\x86_microsoft.windows.c..-controls.resources\cfgmgr32.module.exe' a -y -mx9 -ssw "%APPDATA%\x86_microsoft.windows.c..-controls.resources\ENU_868808FE973879522535.7z" "%APPDATA%\x86_microsoft.windows.c..-controls.resources\1\*"
'<SYSTEM32>\cmd.exe' /c taskkill /f /pid 4000 & attrib -s -h -r -a /S /D "%APPDATA%\GZT3aQzkeFlX5hokdZ" & del /q /f "%APPDATA%\GZT3aQzkeFlX5hokdZ\Build.exe"' (со скрытым окном)
'%APPDATA%\x86_microsoft.windows.c..-controls.resources\cfgmgr32.module.exe' a -y -mx9 -ssw "%APPDATA%\x86_microsoft.windows.c..-controls.resources\ENU_868808FE973879522535.7z" "%APPDATA%\x86_microsoft.windows.c..-controls.resources\1\*"' (со скрытым окном)
'<SYSTEM32>\attrib.exe' +s +h "%APPDATA%\x86_microsoft.windows.c..-controls.resources"' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\rundll32.exe' <SYSTEM32>\shimgvw.dll,ImageView_Fullscreen %APPDATA%\b1GKgldxzo6p85y7LfyVbsXE\rektware.png
'<SYSTEM32>\rundll32.exe' <SYSTEM32>\shimgvw.dll,ImageView_Fullscreen %APPDATA%\GZT3aQzkeFlX5hokdZ\rektware.png
'<SYSTEM32>\cmd.exe' /c taskkill /f /pid 4000 & attrib -s -h -r -a /S /D "%APPDATA%\GZT3aQzkeFlX5hokdZ" & del /q /f "%APPDATA%\GZT3aQzkeFlX5hokdZ\Build.exe"
'<SYSTEM32>\attrib.exe' -s -h -r -a /S /D "%APPDATA%\GZT3aQzkeFlX5hokdZ"
'<SYSTEM32>\attrib.exe' +s +h "%APPDATA%\x86_microsoft.windows.c..-controls.resources"