Trojan.PWS.Siggen2.33782

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\-2-3-29-1404288243-1408237502-1081353075-4331\{9i3z5fb9-vtxy-uqv-84dr-53v3u8dp6nir}

Вредоносные функции

Читает файлы, отвечающие за хранение паролей сторонними программами

<LS_APPDATA>\google\chrome\user data\default\login data
<LS_APPDATA>\google\chrome\user data\default\web data

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\amd64_microsoft-windows-devices-wifi\enu_84687fe973d070912535
%APPDATA%\amd64_microsoft-windows-devices-wifi\1\telegram\инструкция по установке.txt
%APPDATA%\amd64_microsoft-windows-devices-wifi\1\telegram\d877f783d5d3ef8c\map0
%APPDATA%\amd64_microsoft-windows-devices-wifi\1\steam\config\dialogconfig.vdf
%APPDATA%\amd64_microsoft-windows-devices-wifi\1\steam\инструкция по установке.txt
%APPDATA%\amd64_microsoft-windows-devices-wifi\1\steam\config\config.vdf
%APPDATA%\amd64_microsoft-windows-devices-wifi\1\screen.jpg
%APPDATA%\amd64_microsoft-windows-devices-wifi\d3dcompiler_43.sqlite3.module.dll
%APPDATA%\amd64_microsoft-windows-devices-wifi\d3dcompiler_43.sqlite3.module.dll.7
%TEMP%\aut73f9.tmp
%APPDATA%\amd64_microsoft-windows-devices-wifi\1\telegram\d877f783d5d3ef8c1
<LS_APPDATA>\microsoft\windows\history\low\history.ie5\index.dat
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\ksefb3t3\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\i49u1gw1\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\o2r1nbbm\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\sm9vgwjm\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\index.dat
<LS_APPDATA>\microsoft\windows\history\low\history.ie5\desktop.ini
<LS_APPDATA>\microsoft\windows\history\low\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\desktop.ini
%APPDATA%\microsoft\windows\cookies\low\index.dat
%APPDATA%\amd64_microsoft-windows-devices-wifi\1\cookies\mozilla firefox (6).txt

Присваивает атрибут 'скрытый' для следующих файлов

<LS_APPDATA>\microsoft\windows\<INETFILES>\low\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\sm9vgwjm\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\o2r1nbbm\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\i49u1gw1\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\ksefb3t3\desktop.ini
<LS_APPDATA>\microsoft\windows\history\low\history.ie5\desktop.ini
<LS_APPDATA>\microsoft\windows\history\low\desktop.ini

Удаляет следующие файлы

%TEMP%\aut73f9.tmp
%APPDATA%\amd64_microsoft-windows-devices-wifi\d3dcompiler_43.sqlite3.module.dll.7
%APPDATA%\amd64_microsoft-windows-devices-wifi\d3dcompiler_43.sqlite3.module.dll
%APPDATA%\amd64_microsoft-windows-devices-wifi\1\screen.jpg
%APPDATA%\amd64_microsoft-windows-devices-wifi\1\cookies\mozilla firefox (6).txt
%APPDATA%\amd64_microsoft-windows-devices-wifi\1\steam\инструкция по установке.txt
%APPDATA%\amd64_microsoft-windows-devices-wifi\1\steam\config\config.vdf
%APPDATA%\amd64_microsoft-windows-devices-wifi\1\steam\config\dialogconfig.vdf
%APPDATA%\amd64_microsoft-windows-devices-wifi\1\telegram\d877f783d5d3ef8c1
%APPDATA%\amd64_microsoft-windows-devices-wifi\1\telegram\инструкция по установке.txt
%APPDATA%\amd64_microsoft-windows-devices-wifi\1\telegram\d877f783d5d3ef8c\map0

Самоперемещается

из <Полный путь к файлу> в %APPDATA%\amd64_microsoft-windows-devices-wifi\d3dcompiler_43.exe

Сетевая активность

UDP

DNS ASK ap#.##legram.org
DNS ASK ip##i.co

Другое

Создает и запускает на исполнение

'%APPDATA%\amd64_microsoft-windows-devices-wifi\d3dcompiler_43.module.exe' a -y -mx9 -ssw "%APPDATA%\amd64_microsoft-windows-devices-wifi\ENU_84687FE973D070912535.7z" "%APPDATA%\amd64_microsoft-windows-devices-wifi\1\*"' (со скрытым окном)

Запускает на исполнение