Trojan.PWS.Siggen2.31553

Техническая информация

Вредоносные функции

Внедряет код в

следующие системные процессы:

%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe

Ищет ветки реестра, отвечающие за хранение паролей сторонними программами

[<HKCU>\Software\Google\Google Talk\Accounts]
[<HKCU>\Software\Microsoft\Internet Account Manager\Accounts]
[<HKCU>\Software\Microsoft\Office\Outlook\OMI Account Manager\Accounts]
[<HKCU>\Identities\{A393BE9D-3F97-4C05-BBA1-37C8B8CA0B32}\Software\Microsoft\Internet Account Manager\Accounts]
[<HKCU>\Identities\{A393BE9D-3F97-4C05-BBA1-37C8B8CA0B32}\Software\Microsoft\Office\Outlook\OMI Account Manager\Accounts]
[<HKCU>\Software\Microsoft\MSNMessenger]
[<HKCU>\Software\Yahoo\Pager]

Читает файлы, отвечающие за хранение паролей сторонними программами

<LS_APPDATA>\google\chrome\user data\default\login data
<LS_APPDATA>\chromium\user data\default\web data
%APPDATA%\opera software\opera stable\login data

Изменения в файловой системе

Создает следующие файлы

%TEMP%\8727f38e-e8ce-c8fa-0abd-511f89c07243
%PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
%PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
%PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
<LS_APPDATA>\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
%TEMP%\tmpee3f.tmp
%TEMP%\tmpecea.tmp
%TEMP%\tmpea3.tmp
%TEMP%\tmp2d1c.tmp
%TEMP%\tmp4dda.tmp
%TEMP%\tmp6d25.tmp
%TEMP%\tmp8bef.tmp
%TEMP%\tmpaa86.tmp
%TEMP%\tmpc8a5.tmp

Удаляет следующие файлы

%TEMP%\tmpecea.tmp
%TEMP%\tmpee3f.tmp
%TEMP%\tmpea3.tmp

Самоудаляется.

Другое

Создает и запускает на исполнение

'<SYSTEM32>\cmd.exe' /C choice /C Y /N /D Y /T 3 & Del "<Полный путь к файлу>"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmpECEA.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmpEE3F.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmpEA3.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmp2D1C.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmp4DDA.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmp6D25.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmp8BEF.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmpAA86.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmpC8A5.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmpDCFE.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmpE656.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmpFAE1.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmp5D4.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmp1964.tmp"' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\microsoft.net\framework\v2.0.50727\regasm.exe'
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmpFAE1.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmpE656.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmpDCFE.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmpC8A5.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmpAA86.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmp8BEF.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmp5D4.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmp6D25.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmp2D1C.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmpEA3.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmpEE3F.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmpECEA.tmp"
'<SYSTEM32>\choice.exe' /C Y /N /D Y /T 3
'<SYSTEM32>\cmd.exe' /C choice /C Y /N /D Y /T 3 & Del "<Полный путь к файлу>"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmp4DDA.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmp1964.tmp"