Trojan.PWS.Siggen2.38287

Техническая информация

Вредоносные функции

Внедряет код в

следующие системные процессы:

%WINDIR%\microsoft.net\framework\v4.0.30319\regasm.exe

Завершает или пытается завершить

следующие системные процессы:

%WINDIR%\microsoft.net\framework\v4.0.30319\regasm.exe

Читает файлы, отвечающие за хранение паролей сторонними программами

%LOCALAPPDATA%\google\chrome\user data\default\login data
%APPDATA%\opera software\opera stable\login data

Изменения в файловой системе

Создает следующие файлы

%TEMP%\c0d2157b-4ee5-c3bf-10ff-adf1a9f91ca6
%TEMP%\tmp10c6.tmp
%TEMP%\tmp1124.tmp
%TEMP%\tmpfbc.tmp
%TEMP%\tmpfec4.tmp
%TEMP%\tmpec27.tmp
%TEMP%\tmpe159.tmp
%TEMP%\tmpd488.tmp
%TEMP%\tmpc064.tmp
%TEMP%\tmpb8d2.tmp
%TEMP%\tmpa4dd.tmp
%TEMP%\tmp8416.tmp
%TEMP%\tmp87df.tmp
%TEMP%\tmp8474.tmp
%LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
%PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
%PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
%PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
%TEMP%\tmp1cdc.tmp
%TEMP%\tmp2efc.tmp

Удаляет следующие файлы

%TEMP%\tmp8416.tmp

Другое

Создает и запускает на исполнение

'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmp8416.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmp8029.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmp7B97.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmp6CD0.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmp6212.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmp536C.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmp50CC.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmp2EFC.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmp1CDC.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmp1124.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmp8CCC.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmp10C6.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmpFEC4.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmpEC27.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmpE159.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmpD488.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmpC064.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmpB8D2.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmpA4DD.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmp87DF.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmp8474.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmpFBC.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmp9567.tmp"' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\microsoft.net\framework\v4.0.30319\regasm.exe'
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmp8029.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmp7B97.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmp6CD0.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmp6212.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmp536C.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmp50CC.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmp2EFC.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmp1CDC.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmp1124.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmp10C6.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmpFBC.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmpFEC4.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmpEC27.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmpE159.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmpD488.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmpC064.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmpB8D2.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmpA4DD.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmp87DF.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmp8474.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmp8416.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmp8CCC.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmp9567.tmp"