Trojan.PWS.Siggen2.32560

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\k-8-9-43-1323374587-1042629421-1224272123-3852\{dcb3dp9n-lav9-izi-yepx-8r4i7zc8qrbb}

Вредоносные функции

Читает файлы, отвечающие за хранение паролей сторонними программами

<LS_APPDATA>\google\chrome\user data\default\login data
<LS_APPDATA>\google\chrome\user data\default\web data
%APPDATA%\opera software\opera stable\login data

Изменения в файловой системе

Создает следующие файлы

%TEMP%\dll.exe
%TEMP%\aut423b.tmp
%APPDATA%\msil_system.runtime.caching\d3dx9_33.sqlite3.module.dll.3
%APPDATA%\msil_system.runtime.caching\d3dx9_33.sqlite3.module.dll
%APPDATA%\msil_system.runtime.caching\1\screen.jpg
%APPDATA%\msil_system.runtime.caching\1\steam\config\config.vdf
%APPDATA%\msil_system.runtime.caching\1\steam\инструкция по установке.txt
%APPDATA%\msil_system.runtime.caching\1\telegram\d877f783d5d3ef8c\map0
%APPDATA%\msil_system.runtime.caching\d3dx9_33.module.exe
%APPDATA%\msil_system.runtime.caching\1\telegram\инструкция по установке.txt
%APPDATA%\msil_system.runtime.caching\1\telegram\d877f783d5d3ef8c1
%APPDATA%\msil_system.runtime.caching\1\cookies\mozilla firefox (6).txt
%APPDATA%\msil_system.runtime.caching\1\information.txt
%TEMP%\autb81e.tmp
%APPDATA%\msil_system.runtime.caching\d3dx9_33.module.exe.3
<LS_APPDATA>\microsoft\windows\history\low\history.ie5\index.dat
%APPDATA%\msil_system.runtime.caching\1\steam\config\dialogconfig.vdf
%APPDATA%\microsoft\windows\cookies\low\index.dat
<LS_APPDATA>\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
%TEMP%\gamerx.exe
%TEMP%\cf5cdf7d9c772276.exe
%APPDATA%\msil_system.runtime.caching\enu_fe97563a0a4476172535
%PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
%PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
%PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\jxyq4ddm\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
<LS_APPDATA>\microsoft\windows\history\low\desktop.ini
<LS_APPDATA>\microsoft\windows\history\low\history.ie5\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\index.dat
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\u55av7lm\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\8mrs8uzt\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\kx3gig8h\desktop.ini
%APPDATA%\msil_system.runtime.caching\enu_fe97563a0a4476172535.7z

Присваивает атрибут 'скрытый' для следующих файлов

<LS_APPDATA>\microsoft\windows\<INETFILES>\low\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\u55av7lm\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\8mrs8uzt\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\jxyq4ddm\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\kx3gig8h\desktop.ini
<LS_APPDATA>\microsoft\windows\history\low\history.ie5\desktop.ini
<LS_APPDATA>\microsoft\windows\history\low\desktop.ini

Удаляет следующие файлы

%TEMP%\aut423b.tmp
%APPDATA%\msil_system.runtime.caching\1\telegram\d877f783d5d3ef8c\map0
%APPDATA%\msil_system.runtime.caching\1\telegram\инструкция по установке.txt
%APPDATA%\msil_system.runtime.caching\1\telegram\d877f783d5d3ef8c1
%APPDATA%\msil_system.runtime.caching\1\steam\config\dialogconfig.vdf
%APPDATA%\msil_system.runtime.caching\1\steam\config\config.vdf
%APPDATA%\msil_system.runtime.caching\1\steam\инструкция по установке.txt
%APPDATA%\msil_system.runtime.caching\enu_fe97563a0a4476172535.7z
%APPDATA%\msil_system.runtime.caching\1\cookies\mozilla firefox (6).txt
%APPDATA%\msil_system.runtime.caching\1\information.txt
%APPDATA%\msil_system.runtime.caching\d3dx9_33.module.exe
%APPDATA%\msil_system.runtime.caching\d3dx9_33.module.exe.3
%TEMP%\autb81e.tmp
%APPDATA%\msil_system.runtime.caching\d3dx9_33.sqlite3.module.dll
%APPDATA%\msil_system.runtime.caching\d3dx9_33.sqlite3.module.dll.3
%APPDATA%\msil_system.runtime.caching\1\screen.jpg
%APPDATA%\msil_system.runtime.caching\enu_fe97563a0a4476172535

Перемещает следующие файлы

%TEMP%\dll.exe в %APPDATA%\msil_system.runtime.caching\d3dx9_33.exe

Сетевая активность

TCP

Запросы HTTP GET

http://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/02FAF3E291435468607857694DF5E45B68851868.crt
http://cr#.#odaddy.com/gdig2s1-827.crl

Запросы HTTP POST

http://we###sdat.xyz/api/check.get
http://we###sdat.xyz/api/gate.get?p1############################################

UDP

DNS ASK we###sdat.xyz
DNS ASK ap#.##legram.org
DNS ASK ip##i.co
DNS ASK cr#.#odaddy.com

Другое

Создает и запускает на исполнение

'%TEMP%\dll.exe'
'%TEMP%\gamerx.exe'
'%TEMP%\cf5cdf7d9c772276.exe'
'%APPDATA%\msil_system.runtime.caching\d3dx9_33.exe'
'%APPDATA%\msil_system.runtime.caching\d3dx9_33.module.exe' a -y -mx9 -ssw "%APPDATA%\msil_system.runtime.caching\ENU_FE97563A0A4476172535.7z" "%APPDATA%\msil_system.runtime.caching\1\*"
'%APPDATA%\msil_system.runtime.caching\d3dx9_33.module.exe' a -y -mx9 -ssw "%APPDATA%\msil_system.runtime.caching\ENU_FE97563A0A4476172535.7z" "%APPDATA%\msil_system.runtime.caching\1\*"' (со скрытым окном)
'%WINDIR%\syswow64\attrib.exe' +s +h "%APPDATA%\msil_system.runtime.caching"' (со скрытым окном)
'%APPDATA%\msil_system.runtime.caching\d3dx9_33.exe' ' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\rundll32.exe' "%WINDIR%\syswow64\WININET.dll",DispatchAPICall 1
'%WINDIR%\syswow64\attrib.exe' +s +h "%APPDATA%\msil_system.runtime.caching"
'<SYSTEM32>\taskeng.exe' {260F17CC-DE32-44CA-93C6-665100D82554} S-1-5-21-1960123792-2022915161-3775307078-1001:wafwdtzpzcfu\user:Interactive:[1]