Trojan.PWS.Siggen2.32567

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\-2-3-29-1404288243-1408237502-1081353075-4331\{9i3z5fb9-vtxy-uqv-84dr-53v3u8dp6nir}

Вредоносные функции

Читает файлы, отвечающие за хранение паролей сторонними программами

<LS_APPDATA>\google\chrome\user data\default\login data
<LS_APPDATA>\google\chrome\user data\default\web data

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\amd64_microsoft-windows-devices-wifi\enu_684687fe9787c2272535
%APPDATA%\amd64_microsoft-windows-devices-wifi\d3dcompiler_43.module.exe.7
%TEMP%\aut6654.tmp
%APPDATA%\amd64_microsoft-windows-devices-wifi\1\information.txt
%APPDATA%\amd64_microsoft-windows-devices-wifi\1\cookies\mozilla firefox (6).txt
%APPDATA%\amd64_microsoft-windows-devices-wifi\1\telegram\d877f783d5d3ef8c1
%APPDATA%\amd64_microsoft-windows-devices-wifi\1\telegram\инструкция по установке.txt
%APPDATA%\amd64_microsoft-windows-devices-wifi\1\telegram\d877f783d5d3ef8c\map0
%APPDATA%\amd64_microsoft-windows-devices-wifi\1\steam\config\dialogconfig.vdf
%APPDATA%\amd64_microsoft-windows-devices-wifi\1\steam\инструкция по установке.txt
%APPDATA%\amd64_microsoft-windows-devices-wifi\1\steam\config\config.vdf
%APPDATA%\amd64_microsoft-windows-devices-wifi\1\screen.jpg
%APPDATA%\amd64_microsoft-windows-devices-wifi\d3dcompiler_43.sqlite3.module.dll
%APPDATA%\amd64_microsoft-windows-devices-wifi\d3dcompiler_43.sqlite3.module.dll.7
%TEMP%\autfcb6.tmp
<LS_APPDATA>\microsoft\windows\history\low\history.ie5\index.dat
%APPDATA%\microsoft\windows\cookies\low\index.dat
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\1k5k6vnn\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\sige9wqg\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\nl9s46zr\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\95ycbic9\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\index.dat
<LS_APPDATA>\microsoft\windows\history\low\history.ie5\desktop.ini
<LS_APPDATA>\microsoft\windows\history\low\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\desktop.ini
%APPDATA%\amd64_microsoft-windows-devices-wifi\d3dcompiler_43.module.exe
%APPDATA%\amd64_microsoft-windows-devices-wifi\enu_684687fe9787c2272535.7z

Присваивает атрибут 'скрытый' для следующих файлов

<LS_APPDATA>\microsoft\windows\<INETFILES>\low\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\95ycbic9\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\nl9s46zr\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\sige9wqg\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\1k5k6vnn\desktop.ini
<LS_APPDATA>\microsoft\windows\history\low\history.ie5\desktop.ini
<LS_APPDATA>\microsoft\windows\history\low\desktop.ini

Удаляет следующие файлы

%TEMP%\autfcb6.tmp
%APPDATA%\amd64_microsoft-windows-devices-wifi\1\telegram\d877f783d5d3ef8c\map0
%APPDATA%\amd64_microsoft-windows-devices-wifi\1\telegram\инструкция по установке.txt
%APPDATA%\amd64_microsoft-windows-devices-wifi\1\telegram\d877f783d5d3ef8c1
%APPDATA%\amd64_microsoft-windows-devices-wifi\1\steam\config\dialogconfig.vdf
%APPDATA%\amd64_microsoft-windows-devices-wifi\1\steam\config\config.vdf
%APPDATA%\amd64_microsoft-windows-devices-wifi\1\steam\инструкция по установке.txt
%APPDATA%\amd64_microsoft-windows-devices-wifi\enu_684687fe9787c2272535.7z
%APPDATA%\amd64_microsoft-windows-devices-wifi\1\cookies\mozilla firefox (6).txt
%APPDATA%\amd64_microsoft-windows-devices-wifi\1\information.txt
%APPDATA%\amd64_microsoft-windows-devices-wifi\d3dcompiler_43.module.exe
%APPDATA%\amd64_microsoft-windows-devices-wifi\d3dcompiler_43.module.exe.7
%TEMP%\aut6654.tmp
%APPDATA%\amd64_microsoft-windows-devices-wifi\d3dcompiler_43.sqlite3.module.dll
%APPDATA%\amd64_microsoft-windows-devices-wifi\d3dcompiler_43.sqlite3.module.dll.7
%APPDATA%\amd64_microsoft-windows-devices-wifi\1\screen.jpg
%APPDATA%\amd64_microsoft-windows-devices-wifi\enu_684687fe9787c2272535

Самоперемещается

из <Полный путь к файлу> в %APPDATA%\amd64_microsoft-windows-devices-wifi\d3dcompiler_43.exe

Сетевая активность

TCP

Запросы HTTP GET

http://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/02FAF3E291435468607857694DF5E45B68851868.crt
http://cr#.#odaddy.com/gdig2s1-827.crl

UDP

DNS ASK ap#.##legram.org
DNS ASK ip##i.co
DNS ASK cr#.#odaddy.com

Другое

Создает и запускает на исполнение

'%APPDATA%\amd64_microsoft-windows-devices-wifi\d3dcompiler_43.module.exe' a -y -mx9 -ssw "%APPDATA%\amd64_microsoft-windows-devices-wifi\ENU_684687FE9787C2272535.7z" "%APPDATA%\amd64_microsoft-windows-devices-wifi\1\*"
'%APPDATA%\amd64_microsoft-windows-devices-wifi\d3dcompiler_43.module.exe' a -y -mx9 -ssw "%APPDATA%\amd64_microsoft-windows-devices-wifi\ENU_684687FE9787C2272535.7z" "%APPDATA%\amd64_microsoft-windows-devices-wifi\1\*"' (со скрытым окном)
'%WINDIR%\syswow64\attrib.exe' +s +h "%APPDATA%\amd64_microsoft-windows-devices-wifi"' (со скрытым окном)
'%APPDATA%\amd64_microsoft-windows-devices-wifi\d3dcompiler_43.exe' ' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\rundll32.exe' "%WINDIR%\syswow64\WININET.dll",DispatchAPICall 1
'%WINDIR%\syswow64\attrib.exe' +s +h "%APPDATA%\amd64_microsoft-windows-devices-wifi"
'<SYSTEM32>\taskeng.exe' {E163F0F2-BE16-493E-9C0A-946A774B4503} S-1-5-21-1960123792-2022915161-3775307078-1001:wbblgh\user:Interactive:[1]