Trojan.PWS.Siggen2.35599

Техническая информация

Вредоносные функции

Внедряет код в

следующие системные процессы:

%WINDIR%\syswow64\attrib.exe

Ищет ветки реестра, отвечающие за хранение паролей сторонними программами

[<HKCU>\Software\Martin Prikryl\WinSCP 2\Sessions]

Читает файлы, отвечающие за хранение паролей сторонними программами

<LS_APPDATA>\google\chrome\user data\default\cookies
<LS_APPDATA>\google\chrome\user data\default\login data
<LS_APPDATA>\google\chrome\user data\default\web data
%APPDATA%\opera software\opera stable\login data
%HOMEPATH%\desktop\508softwareandos.doc
%HOMEPATH%\desktop\adhd_and_obesity.docx
%HOMEPATH%\desktop\applicantform_en.doc
%HOMEPATH%\desktop\fi51.doc
%HOMEPATH%\desktop\file_p_00000000_1371597592.docx
%HOMEPATH%\desktop\issi2013_template_for_posters.docx
%HOMEPATH%\desktop\sdszfo.docx
%HOMEPATH%\desktop\weeklysheet1215.doc

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\ptstq8w4y3s5r7w4y3s5r7\steam\config.vdf
%APPDATA%\ptstq8w4y3s5r7w4y3s5r7\information.txt
%APPDATA%\ptstq8w4y3s5r7w4y3s5r7\screenshot.jpeg
%APPDATA%\ptstq8w4y3s5r7w4y3s5r7\files.zip
%APPDATA%\ptstq8w4y3s5r7w4y3s5r7\files\weeklysheet1215.doc
%APPDATA%\ptstq8w4y3s5r7w4y3s5r7\files\sdszfo.docx
%APPDATA%\ptstq8w4y3s5r7w4y3s5r7\files\issi2013_template_for_posters.docx
%APPDATA%\ptstq8w4y3s5r7w4y3s5r7\files\file_p_00000000_1371597592.docx
%APPDATA%\ptstq8w4y3s5r7w4y3s5r7\files\fi51.doc
%APPDATA%\ptstq8w4y3s5r7w4y3s5r7\files\applicantform_en.doc
%APPDATA%\ptstq8w4y3s5r7w4y3s5r7\files\adhd_and_obesity.docx
%APPDATA%\ptstq8w4y3s5r7w4y3s5r7\files\508softwareandos.doc
%APPDATA%\ptstq8w4y3s5r7w4y3s5r7\history\edge.txt
<LS_APPDATA>\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
%PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
%PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
%PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
%APPDATA%\ptstq8w4y3s5r7w4y3s5r7\history\opera.txt
%APPDATA%\ptstq8w4y3s5r7w4y3s5r7\cookies\opera_2.log
%APPDATA%\ptstq8w4y3s5r7w4y3s5r7\history\mozilla.txt
%APPDATA%\ptstq8w4y3s5r7w4y3s5r7\cookies\mozilla_1.log
%APPDATA%\ptstq8w4y3s5r7w4y3s5r7\cookies\chrome_0.log
%TEMP%\nmnpvizmzeud.col
%APPDATA%\ptstq8w4y3s5r7w4y3s5r7\telegram\map0
%APPDATA%\ptstq8w4y3s5r7w4y3s5r7\telegram\d877f783d5d3ef8c1
%APPDATA%\ptstq8w4y3s5r7w4y3s5r7\steam\dialogconfig.vdf
%APPDATA%\ptstq8w4y3s5r7w4y3s5r7\other\actions.txt
%APPDATA%\zparq8w4y3s5r7w4y3s5r7.zip