Trojan.PWS.Siggen2.34260

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\w-7-7-39-1190258058-1308776274-1317805080-9434\{cbtixr6-f6x-eb5r-dhna-8xtm3798vumm}

Вредоносные функции

Читает файлы, отвечающие за хранение паролей сторонними программами

<LS_APPDATA>\google\chrome\user data\default\login data
<LS_APPDATA>\google\chrome\user data\default\web data

Изменения в файловой системе

Создает следующие файлы

%TEMP%\cdgh.exe
%APPDATA%\amd64_microsoft-windows-ui-search.resources\onex.module.exe.9
%TEMP%\aut3645.tmp
%APPDATA%\amd64_microsoft-windows-ui-search.resources\1\information.txt
%APPDATA%\amd64_microsoft-windows-ui-search.resources\1\cookies\mozilla firefox (6).txt
%APPDATA%\amd64_microsoft-windows-ui-search.resources\1\telegram\d877f783d5d3ef8c1
%APPDATA%\amd64_microsoft-windows-ui-search.resources\1\telegram\инструкция по установке.txt
%APPDATA%\amd64_microsoft-windows-ui-search.resources\1\telegram\d877f783d5d3ef8c\map0
%APPDATA%\amd64_microsoft-windows-ui-search.resources\1\steam\config\dialogconfig.vdf
%APPDATA%\amd64_microsoft-windows-ui-search.resources\1\steam\инструкция по установке.txt
%APPDATA%\amd64_microsoft-windows-ui-search.resources\1\steam\config\config.vdf
%APPDATA%\amd64_microsoft-windows-ui-search.resources\1\screen.jpg
%APPDATA%\amd64_microsoft-windows-ui-search.resources\onex.sqlite3.module.dll
%APPDATA%\amd64_microsoft-windows-ui-search.resources\onex.sqlite3.module.dll.9
%APPDATA%\amd64_microsoft-windows-ui-search.resources\onex.module.exe
%TEMP%\auteb70.tmp
%APPDATA%\microsoft\windows\cookies\low\index.dat
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\gkcg2cl7\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\xggk4pfg\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\9fw29oup\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\faordnfm\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\index.dat
<LS_APPDATA>\microsoft\windows\history\low\history.ie5\desktop.ini
<LS_APPDATA>\microsoft\windows\history\low\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\desktop.ini
%APPDATA%\amd64_microsoft-windows-ui-search.resources\enu_84687fe970ab34d92535
%APPDATA%\ssjk.exe
%TEMP%\xxmbk.exe
<LS_APPDATA>\microsoft\windows\history\low\history.ie5\index.dat
%APPDATA%\amd64_microsoft-windows-ui-search.resources\enu_84687fe970ab34d92535.7z

Присваивает атрибут 'скрытый' для следующих файлов

<LS_APPDATA>\microsoft\windows\<INETFILES>\low\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\faordnfm\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\9fw29oup\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\xggk4pfg\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\gkcg2cl7\desktop.ini
<LS_APPDATA>\microsoft\windows\history\low\history.ie5\desktop.ini
<LS_APPDATA>\microsoft\windows\history\low\desktop.ini

Удаляет следующие файлы

%TEMP%\auteb70.tmp
%APPDATA%\amd64_microsoft-windows-ui-search.resources\onex.sqlite3.module.dll.9
%APPDATA%\amd64_microsoft-windows-ui-search.resources\onex.sqlite3.module.dll
%TEMP%\aut3645.tmp
%APPDATA%\amd64_microsoft-windows-ui-search.resources\onex.module.exe.9
%APPDATA%\amd64_microsoft-windows-ui-search.resources\onex.module.exe
%APPDATA%\amd64_microsoft-windows-ui-search.resources\1\information.txt
%APPDATA%\amd64_microsoft-windows-ui-search.resources\1\screen.jpg
%APPDATA%\amd64_microsoft-windows-ui-search.resources\1\cookies\mozilla firefox (6).txt
%APPDATA%\amd64_microsoft-windows-ui-search.resources\1\steam\инструкция по установке.txt
%APPDATA%\amd64_microsoft-windows-ui-search.resources\1\steam\config\config.vdf
%APPDATA%\amd64_microsoft-windows-ui-search.resources\1\steam\config\dialogconfig.vdf
%APPDATA%\amd64_microsoft-windows-ui-search.resources\1\telegram\d877f783d5d3ef8c1
%APPDATA%\amd64_microsoft-windows-ui-search.resources\1\telegram\инструкция по установке.txt
%APPDATA%\amd64_microsoft-windows-ui-search.resources\1\telegram\d877f783d5d3ef8c\map0

Перемещает следующие файлы

%APPDATA%\ssjk.exe в %APPDATA%\amd64_microsoft-windows-ui-search.resources\onex.exe

Сетевая активность

UDP

DNS ASK ap#.##legram.org
DNS ASK ip##i.co

Другое

Ищет следующие окна

ClassName: 'EDIT' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\xxmbk.exe' -s -pfsdgsdfvsdzcxfsDC
'%APPDATA%\ssjk.exe'
'%APPDATA%\amd64_microsoft-windows-ui-search.resources\onex.exe'
'%TEMP%\cdgh.exe'
'%APPDATA%\amd64_microsoft-windows-ui-search.resources\onex.module.exe' a -y -mx9 -ssw "%APPDATA%\amd64_microsoft-windows-ui-search.resources\ENU_84687FE970AB34D92535.7z" "%APPDATA%\amd64_microsoft-windows-ui-search.resources\1\*"
'%APPDATA%\amd64_microsoft-windows-ui-search.resources\onex.module.exe' a -y -mx9 -ssw "%APPDATA%\amd64_microsoft-windows-ui-search.resources\ENU_84687FE970AB34D92535.7z" "%APPDATA%\amd64_microsoft-windows-ui-search.resources\1\*"' (со скрытым окном)
'%WINDIR%\syswow64\attrib.exe' +s +h "%APPDATA%\amd64_microsoft-windows-ui-search.resources"' (со скрытым окном)
'%APPDATA%\amd64_microsoft-windows-ui-search.resources\onex.exe' ' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\rundll32.exe' "%WINDIR%\syswow64\WININET.dll",DispatchAPICall 1
'%WINDIR%\syswow64\attrib.exe' +s +h "%APPDATA%\amd64_microsoft-windows-ui-search.resources"
'<SYSTEM32>\taskeng.exe' {8AC5A3D7-C5B7-4529-8685-D12FDDD3F102} S-1-5-21-1960123792-2022915161-3775307078-1001:imdckzp\user:Interactive:[1]